模擬フィッシングおよび意識向上テストは、純粋な技術テストとは異なる、独自の範囲設定上の考慮事項を提起する。
どの職員グループが適切に含まれるか、どのような口実や内容が許容されるか（デリケートな個人的状況を悪用するなど、不必要な苦痛を引き起こす可能性のあるテーマを避ける）、結果が適切な集計レベルでどのように測定および報告されるか、生成された個人レベルのデータがデータ保護と職員の公正な扱いと一貫してどのように処理されるか。これは一般的な技術的スコープ設定（A）と同一ではありません。合理的な除外（例えば、特にデリケートな個人的状況にある職員、または意図しない危害のリスクが利益を上回る役割）は、絶対的な「例外なし」ルールではなく、正当なスコープ設定の考慮事項です（C）。また、個々の従業員を公に名前を挙げてランク付けすることは一般的に不適切であり、比例的で建設的な報告に関する良い慣行に反して、士気と信頼に深刻な害を及ぼす可能性があります（D）。

GBESTは一般的に、英国政府および公共部門の重要システム向けにCBESTスタイルのインテリジェンス主導型テスト手法を応用したものと理解されており、その根底にある方法論（脅威インテリジェンス主導、シナリオベース、レジリエンスのライブテスト）を金融セクターを超えて国家政府インフラの文脈にまで拡張しています。これは民間マーケティング認証（D）ではなく、金融セクター向けのスキームと同一のものではなく、公共部門向けの応用（C）であり、物理的なセキュリティが一部の取り組みにおいて関連する考慮事項となる場合もありますが、GBESTは物理的な建物のセキュリティテストだけに限定されるものではなく（B）、サイバーレジリエンスを幅広く扱っています。

管轄区域、用語、具体的な手続きの詳細は異なるものの、これらのフレームワークには真に共通する概念的な糸口があります。それは、それぞれが国または地域の金融当局によって、あるいは緊密な協力のもとに開発され、システム上重要な金融機関の現実的なサイバー攻撃に対する耐性を向上させることを目的とした、情報主導型のシナリオベースのライブシステムテストを提供しているということです。これらは単一の民間企業が所有しているわけではなく（C）、それぞれに独自の公的機関のスポンサーがいます。また、表面的な類似性だけでなく、設計思想において意味のある関連性があり（D）、ライブでのハンズオンキーボード技術テストは、それらすべてに共通する決定的な特徴です（Aと矛盾）。

本書全体を通して確立されているエスカレーションとコミュニケーションの原則に従い、業務中に発見された真に緊急かつ重大な問題は、最終報告書まで保留されることなく、合意されたコミュニケーション／エスカレーションプロセスを通じて、発見され次第速やかにクライアントにエスカレーションされるべきです。最終報告書は数週間または数か月後に提出される可能性があるため、クライアントが実際のリスクに対処するためのタイムリーな措置を講じられるようにする必要があります。最終的な包括的な報告書には、記録のために十分な裏付けとなる背景情報と詳細が記載されます。このような緊急の対応が必要な問題を最後まで保留すると（D）、真に深刻なリスクが許容できない期間放置される可能性があります。緊急の問題を報告書から完全に除外することは（A）、重大な職業倫理違反となります。また、最初の緊急エスカレーションは迅速性のために口頭で行うのが妥当かもしれませんが、本書の他の箇所で確立されている記録保持の原則に従い、文書化されていない口頭のみのコミュニケーションとして放置するのではなく（B）、速やかに書面でフォローアップおよび確認を行うのが適切な慣行です。

B 構造化された信頼性/信憑性評価システムは、脅威インテリジェンスアナリストに、特定の情報源が過去にどれほど信頼できることが証明されてきたか、また報告された特定の情報がそれ自体でどれほど信憑性があるように見えるかを、一貫性のある規律ある方法で評価することを可能にし、構造化されていない純粋に主観的な印象に頼るのではなく、より厳密で擁護可能な分析判断をサポートします。これは、サイバーセキュリティの脅威インテリジェンスにおいて真に有用で広く適用されている分析ツールであり、実用性のないものではありません (B)。情報源と情報を一般的に評価するために使用され、脅威アクターの技術的スキルを評価するためだけに、あるいは専ら評価するために使用されるものではありません (A)。情報源または情報を評価することは、さらなる分析への入力であり、分析の必要性をなくす代替手段ではありません (C) - 熟練した分析判断は依然として不可欠です。