Автоматизация реально экономит время, но без порядка в документации и регулярных проверок быстро весело не будет. Я тоже начал с OWASP ZAP, потом сел на проверку библиотек и серверных настроек — стало легче ловить проблемы на корню. Главное не запускать скан и забить, а постоянно фиксировать и обновлять, иначе завтра опять тонуть в хаосе.