[Segurança] Até quando ficar fazendo análise de vulnerabilidades?

O Jeremiah Grossman publicou um texto muito interesante em seu blog, chamado "Vulnerability Assessment, When do we stop looking? ".

Neste pequeno artigo, ele diz que devemos fazer análises de vulnerabilidade tão constantes e tão detalhadas quanto for a necessidade de segurança, baseado na importância do servidor/aplicação e nas necessidades de segurança da empresa. Outro fator que influencia é a periodicidade de atualizações que você faz em sua aplicação (ou website). De qualquer forma, um processo constante de revisão de vulnerabilidades é importante pois, mesmo que a aplicação não mude, as ameaças (técnicas de ataque, vulnerabilidades, etc) estão sempre evoluindo.

Ele apresenta dois gráficos muito interessantes e que sumarizam muito bem o que considero ser a idéia principal do post: Quanto mais detalhado e mais constante for o processo de análise de vulnerabilidades, maior será o nível de precisão e detalhe dos resultados obtidos.