Важно сразу четко согласовать с заказчиком границы теста и получить бумажное подтверждение, чтобы потом не было сюрпризов. Пару раз видел, как из-за непроработанных условий попадали в конфликт. Ну и стандарт — фиксить все найденные уязвимости, даже мелкие, иначе потом всё всплывает. Элементарно, но забивают.