Door Erik van Straten: Daarnaast biedt een pentest geen garantie dat alle fouten gevonden zullen worden. Sterker, als pentesters snel fouten vinden kun je er donder op zeggen dat er meer security issues zullen bestaan. Pentesters proberen aan te tonen aan dat software niet deugt, meestal in een time-box; het zijn geen probleemoplossers - in elk geval niet voor de leverancier (indien ingehuurd door de opdrachtgever). Dit is een algemene waarheid die helaas veel beginnende programmeurs niet begrijpen. Met testen kun je niet aantonen dat een programma (anders dan een totaal triviaal programma'tje) correct werkt. Met testen kun je alleen aantonen dat het NIET correct werkt! Dus is het van belang dat je de correctheid van het programma op andere wijze aannemelijk maakt. Hoe precies dat hangt er vanaf wat het precies voor programma is en welke tools en bouwstenen je gebruikt hebt, maar als het bijvoorbeeld gaat over een website die gebruikersdata verwerkt en eventueel opslaat, een database gebruikt e.d. dan ...