QAと脆弱性診断は、目的、ツール、ワークフローが異なるため、セキュリティ専門の対策が必要になります。

QAは用意したテストケースの仕様書に沿って、シナリオ、画面のボタン・UIの動作を確認し、アプリが正常に動くかどうかをチェックします。それに対して、脆弱性診断は、専門のセキュリティーチェックリストやプロキシツールを使用し、情報漏えい等のセキュリティリスクがないかを確認します。特殊なツールを通じ、直接APIを叩いたり、データを編集して、脆弱性を確認していきます。

Amazon Inspectorは、サーバー内の自動スキャンツールのため、検知できる脆弱性の範囲が限定されます。

Amazon Inspectorは、Web診断は行われず、プラットフォーム診断として、サーバー内のツールでサーバーにあるソフトウェアのバージョンをチェックし脆弱性を洗い出します。サーバーの設定は、CIS Operating System Security Configuration Benchmarks-1.0 に沿ってOSをチェックします。様々な脆弱性を発見しますが、リスクが少ないものもあります。（例：サーバーにawkがインストールされ、脆弱性があるが、実際にウェブアプリケーションが使われていないなど）

それに対して、Sun*の脆弱性診断は、Web診断とプラットフォーム診断を行います。Web診断は、Webアプリケーションに集中して診断することで、Web特有な脆弱性を発見します。ビジネスロジック・認証の不備・アクセス制御の不備など、ツールでは発見できない脆弱性を経験豊富な診断者が診断します。

また、プラットフォーム診断では、外部（インターネット）から、公開されたサーバーのポート・サービスに脆弱性があるかどうかを包括的に診断します。