Tunkeutumistestauksella tulisi olla selkeästi määritellyt tavoitteet ja laajuus. Tavoitteisiin voi kuulua esimerkiksi jatkuvuussuunnitelmien ja -valmiuksien testaaminen, tietoturvakontrollien arviointi tai tietoturvaheikkouksien tunnistaminen. Laajuus voidaan määritellä seuraavasti:

• - Tunnistetaan tietojärjestelmän kriittiset osat, jotka olisi priorisoitava testauksessa.
• - Tunnistetaan yksittäiset järjestelmät tai osat, jotka ovat niin elintärkeitä, että ne on jätettävä testauksen ulkopuolelle.

Elintärkeitä järjestelmiä tai komponentteja, jotka voidaan jättää testauksen ulkopuolelle, ovat esimerkiksi ne, jotka ovat välttämättömiä organisaation kriittisten palvelujen ylläpitämiseksi tai jotka eivät kestä tunkeutumistestin aiheuttamaa rasitusta.

Suunnitteluvaiheessa on tärkeää ottaa asianomaiset sidosryhmät mukaan etukäteen. Tämä tarkoittaa usein sitä, että ulkopuolisille järjestelmänvalvontatoimittajille on ilmoitettava asiasta ennen testausta, vaikka käyttäjille tai järjestelmänhallintahenkilöstölle ei välttämättä ole tarpeen ilmoittaa asiasta.

Tunkeutumistestaus olisi suoritettava säännöllisesti, vähintään vuosittain. Se olisi suoritettava sekä organisaation verkkoalueen ulkopuolelta että sen sisältä. Ulkopuolelta tapahtuva testaus simuloi ulkoista hyökkäystä (black box ja white box), kun taas sisäpuolelta tapahtuva testaus simuloi mahdollisia uhkia, jotka tulevat vaarantuneilta asiakkailta/palvelimilta tai haitallisilta sisäpiiriläisiltä (grey box).

Tunkeutumistestien tulokset on aina dokumentoitava.