テストは対象システムの構造をテストする人（ペンテスター）が知っているホワイトボックステストとシステム構造を知らないブラックボックステストにわけられ、さらに攻撃を開始する場所がシステム外部である外部テストとシステム内部である内部テストにわけられる。
レッドチーム.
レッドチーム検査はペネトレーションテストよりもさらに実践的な検査である。ペネトレーションテストと違い、防御側であるブルーチームが攻撃の発生を認知しておらず、この状態でブルーチームがどこまで攻撃に耐えられるのかが試される。
レッドチームのようなサービスをセキュリティベンダーが提供するようになったのは、標的型攻撃が一般化したことにある。標的型攻撃では上述のような物理要素・人的要素を犯す攻撃手法により情報収集されることもあり、こうした攻撃に耐えられるかを試すためにレッドチームのサービスが提供されるようになったのである。
その他の診断.
ネットワークに接続された不正機器の検出を目的とするネットワークディスカバリや、不正な無線通信を検出するワイヤレススキャンなどがある。
脆弱性ハンドリングと脆弱性管理.
脆弱性ハンドリング.
攻撃者に脆弱性関連情報を悪用されるのを防ぐため、複数の製品が影響を受ける脆弱性の場合などにおいて、情報の公表に関して関係者間で一定の足並みをそろえる事(公開日一致の原則)が重要である。特に海外機関と調整が必要な際にこの原則を破って単独で情報公開を行うと、今後の脆弱性ハンドリングから外される場合がある。
脆弱性ハンドリングの標準・ガイドライン.
国際標準として以下のものがある：
ソフトウェア製品の脆弱性に対するハンドリング手順.
ウェブサイトの脆弱性に対するハンドリング手順.
IPAは原則四半期毎に統計情報を公表する。
脆弱性に関する情報源.
脆弱性情報データベース.
脆弱性ハンドリング等によって集められた脆弱性関連情報を公開するデータベースの事。主なものとして下記のものがある。
注意喚起サイト.
攻撃コードデータベース.
攻撃コード（エクスプロイト）を収集したデータベースで、Exploit DBなどがある。
脆弱性評価に関する指標.
脆弱性管理.