Who should perform vulnerability assessments?

Đáp án đúng: "Either internal or external security professionals or both". Đánh giá điểm yếu (vulnerability assessment) có thể do chuyên gia an toàn nội bộ thực hiện vì họ hiểu hệ thống, hoặc chuyên gia bên ngoài vì họ khách quan và có công cụ, kinh nghiệm rộng; nhiều tổ chức kết hợp cả hai, ví dụ đội nội bộ quét định kỳ còn bên ngoài kiểm tra độc lập hằng năm. "Internal security professionals working as employees" đúng một phần nhưng loại trừ bên ngoài, mất góc nhìn độc lập. "External security professionals hired as consultants" cũng đúng một phần nhưng loại trừ nội bộ, vốn rẻ hơn và làm thường xuyên được. "Only the IT personnel who own the systems" sai vì người sở hữu hệ thống tự đánh giá chính mình sẽ thiếu khách quan và dễ bỏ qua lỗi của mình; nguyên tắc phân tách nhiệm vụ khuyên người đánh giá độc lập với người vận hành.