Aksiyon planındaki maddelerin tamamlandığı beyan edildikten sonra, doğrulama aşamasına geçilmelidir. Retest, düzeltme işleminin büyüklüğüne göre zamanlanır: kritik düzeltmeler için 48 saat içinde, diğerleri için haftalık veya aylık periyotlarla yapılır. Retest kapsamı, sadece düzeltilen zafiyetle sınırlı kalmamalı; “Fix Bypass” (düzeltmenin atlatılması) senaryoları da denenmelidir. Örneğin, bir giriş filtresi eklendiyse, sadece o filtre test edilmemeli, alternatif giriş vektörleri de denenmelidir. Retest’i, orijinal testi yapan ekip yapabileceği gibi, tarafsızlık sağlamak için bağımsız bir iç denetim ekibi de yapabilir. Retest sonuçları, “Düzeltildi”, “Kısmen Düzeltildi” veya “Düzeltilemedi” olarak net bir şekilde kaydedilmelidir.

 Sızma testleri sonrası sıkça karşılaşılan durum, bir zafiyetin tam olarak kapatılamayıp sadece kısmen giderilmesidir. Örneğin, bir şifreleme eksikliği giderilmiş olabilir ancak anahtar yönetimi hala zayıf olabilir. Bu durumda aksiyon planı “Kapanmış” olarak işaretlenmemeli, mevcut durum “Yeni Risk” veya “Kalan Zafiyet” olarak yeniden değerlendirilmelidir. Kısmi düzeltmeler için yeni bir ticket açılmalı ve eksik kalan kısım için spesifik bir aksiyon tanımlanmalıdır. Eğer kısmi düzeltme riski önemli ölçüde azaltıyorsa, bu durum kabul edilebilir ancak eksik kalan kısım için de bir son teslim tarihi verilmelidir. Bu titizlik, “iş görüldü” yanılgısını önler ve zafiyetin tamamen ortadan kalkmasını garanti eder.