Una vez clasificadas las vulnerabilidades más críticas, se realiza una prueba sobre ellas, con el propósito de validar su explotación. El proceso de explotación debe incluir el escalar privilegios (tomar control de los sistemas), a fin de seguir de manera estricta la forma en la que se llevarían a cabo  ataques reales.

Cuando se han concretado las pruebas, utilizando las medidas preventivas señaladas, se llevan a cabo reuniones técnicas para analizar los resultados, revisar las vulnerabilidades encontradas y la clasificación realizada por la herramienta.

En las reuniones técnicas participarán los siguientes actores con los que cuente la organización (de no estar asignadas estas responsabilidades, en las recomendaciones se sugerirá el mejor esquema que pueda establecerse con los recursos humanos existentes):

1. Oficial de seguridad

2. Dueños de procesos

3. Gerente(s) de área

4. Comité de seguridad

5. Dueños de activos

6. Coordinador del plan de contingencias