本書全体を通して繰り返し強調されているように、インテリジェンス主導型テストの前提は、シナリオが対象組織の実際のリスクプロファイル、セクター、および地理的条件に真に妥当かつ具体的でなければならないということです。そうすることで、結果として得られる演習は、修復努力を誤った方向に導く可能性のある非現実的または不適切な脅威モデルではなく、組織が実際に直面する脅威に対する回復力に関する信頼できる関連性の高い洞察を生み出します。妥当性と具体性は、演習の価値に直接的に中心となるものであり、無関係なものではありません（C）。一般的なシナリオは、本質的に技術的に難易度が高いわけではなく、たとえそうであったとしても、この文脈では技術的な難易度だけが価値の尺度ではなく、真に妥当なリスクとの関連性が尺度となります（A）。また、脅威インテリジェンスによって確立された具体性は、レッドチームが実際にシナリオを実行する方法を直接的かつ有意義に形作るものであり、実際の実行に何ら影響を与えない書面による報告書に限定されるべきではありません（D）。

B 適切に管理された契約は、管理グループとプロバイダー間の明示的な合意、および正式なフレームワークが適用される場合は、この文書で先に説明した関連する証明プロセスによる確認を通じて、報告、事後報告、および適切な是正計画が実際に完了したことが確認され、正式にかつ意図的に完了として記録され、明確で文書化された終点が提供されます。正式な完了を請求書の支払いのみに結びつけること (B) は、商業的な管理イベントと、契約の実際の成果物と目的が適切に達成されたことを確認する実質的なガバナンスのマイルストーンを混同します。適切に管理された契約には、作業がたまたま停止したときの非公式で定義されていない終了ではなく、明確に定義された意図的な完了の概念が必要です (A)。また、完了は、実際の作業が実際に完了したかどうかとは無関係な恣意的な固定された日付ではなく、実質的な成果物の真の完了に結び付けられる必要があります (C)。

予算、範囲、目標が明らかに一致していない場合、専門的かつ倫理的な業務遂行には、クライアントと透明性のある話し合いを行い、範囲、目標、予算、またはスケジュールに対する適切な調整について合意し、実際に提供される業務が現実的で、利用可能なリソース内で真に達成可能なものであることを保証することが必要です。不一致を指摘せずに品質を落とした業務を黙って提供すること（B）は、重大な専門的かつ倫理的な失敗であり、話し合いなしにそれ以上の業務を拒否すること（A）は、合理的な調整によって達成可能な解決策を閉ざすことになり、リソース不足を隠蔽するために調査結果を捏造または誇張すること（D）は、職業倫理に対する重大な違反となります。

この業務の機密性とリスクを考慮すると、健全なガバナンスには、適切なプロバイダー選定プロセスが不可欠です。このプロセスでは、関連する認定（該当する場合はCBEST、iCAST、CRESTスキームの認定など）、実証された能力と実績、適切なスタッフ審査基準、推薦状、業務上の適合性、そして商業条件などを適切に考慮する必要があります。価格のみで選定するのではなく（A）、価格のみで選定するのは、この種の業務において真の能力と信頼性が極めて重要であることを無視することになります。プロバイダーの選定は、適切な監督に値する真に重要なガバナンス上の決定であり、全く監督なしに委任すべきものではありません（B）。また、検討対象を単一の上級幹部が個人的に知っているプロバイダーに限定することは（C）、優れたガバナンスに必要な客観的で基準に基づいた評価を回避することになります。

CBESTテストは稼働中の本番システムで行われるため、文書化され、リハーサル済みのエスカレーションおよびテスト停止手順（「キルスイッチ」または緊急連絡プロトコルと呼ばれることもあります）は基本的なリスク管理であり、真の業務中断リスクが発生した場合に、管理グループ（または指定されたリスクオーナー）が直ちに活動を停止できるようにします。監視を省略すること（A）は無謀であり、適切な慣行に反します。コミュニケーションチャネルのない一方的なレッドチームの意思決定（B）は、不可欠な監視を省略します。また、口頭での承認のみに頼ること（C）は、法的にも運用的にも不適切です。書面による署名済みの承認は、最低限の要件です。