Vulnerability management, voor de een is het een esoterische security management activiteit, voor de ander weer een eenvoudig proces wat bestaat uit de maandelijkse patchcyclus van Microsoft. Een andere groep ziet het weer als een "buzzword" dat door aanbieders verzonnen is. Feit is wel dat vulnerability management een belangrijke rol binnen veel bedrijven speelt. Ondanks het belang is er een aantal fouten die regelmatig terugkeren, te weten:

1. Scannen, maar niet reageren. De eerste fout is het zoeken naar lekken, maar niets doen met de resultaten. Het gaat niet om het vinden van lekken, maar juist het dichten ervan.

2. Denken dat patchen hetzelfde is als vulnerability management. Patchen is inderdaad een oplossing om lekken te dichten, maar het installeren van alleen een patch is niet voldoende. Configuraties moeten gecontroleerd worden en applicaties getest, en niet alleen elke tweede dinsdag van de maand.

3. Denken dat vulnerability management alleen een technisch probleem is. Het draait niet alleen om de patches, ook aandacht voor beleid/policies en verbeteren van processen spelen een belangrijke rol.

4. Prioriteit bepalen door alleen naar het lek zelf te kijken. Bij het bepalen welke lekken eerst gedicht moeten worden, moet men niet alleen naar het lek kijken, maar ook naar de omgeving, dreiging en welke rol de betreffende systemen spelen.

5. Niet voorbereid zijn op het onbekende - Zero day exploits. Hoewel het moeilijk is om op onbekende dreigingen voorbereid te zijn, kan een "defense in depth" en goede monitoring veel ellende voorkomen. Waar het op neerkomt is dat beheerders klaar zijn mochten ze door zo'n aanval getroffen worden.
(ComputerWorld)