Security consultants, specialisten, auditors mogen enkel testen uitvoeren waar je als bedrijf vrijwaring voor geeft als bedrijf zijnde. Als fysieke beveiliging onderdeel is van de risk assessment dan verkondigen ze wat ze gaan doen ver van te voren maar niet hoe en wie. Daarna sturen ze iemand onverwacht langs in het bepaalde timeframe waar je nog nooit contact mee hebt gehad van hun buitenteam met een alias een geloofwaardig verhaal en wordt er opgenomen hoe de werkvloer reageert op het bezoek en waar in het bedrijf toegang tot verkregen kan worden. Als je ook nog vrijwaring geeft voor nondestructive infiltration, exfiltration dan kunnen ze ook je hele beveiliging proberen te omzeilen. Zonder die vrijwaring zijn ze afhankelijk van enkel social engineering, gesloten ruimtes of het bemachtigen van onbewaakte toegangsmiddelen. De lead auditor daar in tegen vraagt je toestemming tot alle onderdelen benoemd in de domeinen en gaat rustig onder begeleiding een boekwerk aan checklists en regelt de personeel ...