Тестирование. Оценка.

Доброго времени суток !
Возник вопрос оценки тестирования направленного на нахождение уязвимостей (хак тесты и т.д. и т.п. в том же направлении) .
Как правильно оценивается подобная работа, ее стоимость ?

Обычно по количеству найденных уязвимостей и вероятных потерях при использование этой уязвимости.