Istotność zagadnień dotyczących bezpieczeństwa informacji i szeroko-pojętej technologii informacyjnej nie budzi wątpliwości. Potwierdza to zarówno wzrost znaczenia technologii informacyjnej dla działalności przedsiębiorstw i instytucji, jak również duża liczba przykładów spektakularnych porażek w dziedzinie bezpieczeństwa systemów informatycznych.
W procesie budowania i utrzymywania infrastruktury informatycznej kluczową kwestią jest właściwa oceny stanu bezpieczeństwa informacji w danej organizacji. Oceny tej zwyczajowo dokonuje się przeprowadzając audyt bezpieczeństwa. Jedną z najistotniejszych czynności w ramach audytu jest ocena lub wykonanie analizy ryzyka w odniesieniu do poszczególnych aktywów informacyjnych, a także zagrożeń i podatności z nimi związanych oraz na tej podstawie określenie i ocena adekwatności stosowanych zabezpieczeń. W ten sposób rozumiany audyt bezpieczeństwa jest jednak niewystarczający ze względu na jego teoretyczny charakter. W celu bardziej praktycznej oceny bezpieczeństwa posiadanych i przetwarzanych informacji w systemach informatycznych warto przeprowadzić testy penetracyjne, które zakładają niejako wcielenie się w potencjalnego atakującego.
Mimo, że obowiązujące przepisy (Ustawy o Ochronie Danych Osobowych, a także Rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych) wprost nie nakładają obowiązku przeprowadzania testów penetracyjnych, to ich wykonywanie powinno być stałą praktyką. Rozporządzenie KRI wymaga, aby były przeprowadzane okresowe audyty bezpieczeństwa (nie rzadziej niż raz na rok), stąd można domniemywać konieczności wykonywania testów penetracyjnych.