De scope van een pentest wordt bepaald door doelstellingen, inventarisatie, inclusie- en exclusiecriteria, technische beperkingen, wettelijke vereisten en beschikbare tijd/middelen. Communicatie met belanghebbenden is essentieel voor een effectieve test met focus op relevante systemen en kwetsbaarheden.