Всё верно, только часто пропускают момент с повторным тестированием после фиксов — а это ключевой момент. Как бы круто ни нашёл сканер уязвимость, пока не проверишь, что она реально закрыта, смысла мало. Ручная проверка — это вообще отдельный уровень, без неё только шум и ложные тревоги.