1. A vulnerabilidade;
2. Gerenciamento de patches (atualizações);
3. Disponibilidade e distribuição das informações de segurança.

Vulnerabilidade

• A Evans Data Summer realizou uma pesquisa sobre Linux em 2004, onde ficou comprovado que 92% dos usuários que participaram da pesquisa, nunca tiveram seu sistema Linux infectado por vírus. E mais! Menos de 7% destes mesmos usuários Linux da pesquisa afirmaram nunca terem sido vítimas de 3 ou mais invasões a seus sistemas. Apenas 22% dos desenvolvedores Linux afirmaram que seus sistemas foram invadidos por hackers, onde em 1/4 dos casos (23%) esta invasão foi realizada por ex-funcionários que tinham acessos aos sistemas da empresa.
• 25% dos desenvolvedores concordam que o sistema Linux possui a melhor segurança entre os sistemas operacionais.
• Uma outra pesquisa semelhante a da Evans, detectou que 60% dos usuários não-Linux afirmaram que foram vítimas ou tiveram problemas devido a falhas na segurança de seus sistemas e 32% foram afetados no mínimo 3 vezes por estes problemas.
• O SuSE Linux Enterprise Server 9 contém todos os componentes necessários ao cumprimento do Common Criteria Evaluation CAPP/EAL 4+, melhorando a certificação alcançada na versão 8 do produto.

Gerenciamento de patches

• Os administradores de redes Microsoft reclamam do tempo necessário para administração de sua rede Windows e da necessidade de uma maior mão-de-obra que deve ser empregada nas atividades de administração e gerenciamento destes servidores Windows. E além disso, embora estes servidores Windows - principalmente o Windows 2003 Server - raramente falhassem, estes mesmos administradores afirmaram que era grande a necessidade de instalação de diversos patches de segurança para remendar o sistema. Ou seja, você não tem falhas, mais tem tempos de inatividade que são gerados pela aplicação destes patches, em sua grande maioria críticos. Acima de tudo, o gerenciamento da segurança e de patches era claramente o maior problema dos clientes corporativos da Microsoft.
• Do ponto de vista dos clientes, o gerenciamento de segurança e de patches constitui um evidente ponto franco do sistema Windows. Apenas 12% dos clientes Windows 2000 afirmaram que a plataforma Microsoft oferecia ferramentas de gerenciamento de segurança e de patches equivalentes às do Linux. Isso fez a confiabilidade no Windows 2003 Server melhorar um pouco, com 18% dos clientes afirmando que é comparável às do Linux, em termos de reinicializações desnecessárias.
• De acordo com a Tech News World, "uma importante instituição financeira precisava consultar seu conselho de diretores para aprovar um adicional de US 10 milhões para concluir o patch. Depois do MS Blast e dos custos envolvidos em seu patch de correção, a consulta é muito maior, à medida que novas vulnerabilidades são encontradas profundamente entranhadas nos sistemas Microsoft". O artigo menciona também a situação delicada que uma outra instituição financeira está passando e como isso forçou a esta instituição ter que desativar seu sistema de TI durante 3 semanas para executar o patch de correção nos servidores e desktops Windows.
• Em um outro estudo, de Robert Francis Group, disponibilizado em meados de 2002, apontou-se que "as instalações do Windows exigem duas vezes mais números de horas dos administradores de rede do que o tempo gasto em gerenciamento de segurança e aplicação de patches em outros sistemas operacionais."
• Em um artigo disponibilizado pelo Gartner em Fevereiro/2004 ("Prepare for yet another critical Windows vulnerability"), o analista afirma que haverá um crescimento exponencial no combate aos gastos com ferramentas de gerenciamento de segurança e patches da Microsoft e que isso influenciará na tomada de decisão das corporações e dos usuários finais no momento de decidirem em relação a qual sistema operacional usar.

Disponibilidade e distribuição das informações de segurança

• A Microsoft não vai oferecer garantias para correções de falhas de segurança para versões do Internet Explorer anteriores ao Windows XP. Segundo Michael Cherry, que é analista de Directions on Microsoft in Redmond - Wash, "Esse é um problema que as pessoas precisarão enfrentar em um upgrade total de OS, para obter um browser seguro". Uma boa parte disso tudo tem como principal objetivo incentivar/forçar o upgrade para o Windows XP.
• A Microsoft oferece a empresas selecionadas o acesso a patches antes de outras:
  
  "Com base no feedback do cliente, a Microsoft iniciou, em Novembro de 2003, um programa de notificação de boletim de segurança de destaques com os principais clientes e outros clientes representativos. O programa foi bem recebido e o feedback dos clientes que participaram foi muito positivo; como consequência, o programa foi expandido em Abril de 2004, para incluir os clientes que assinarão um contrato apropriado de não divulgação", acrescentou a Microsoft.
  
  
• Em um outro artigo da internetnews.com, o analista de segurança do Gartnet Group, John Pescatore, descreveu a pré-notificação das informações de segurança somente para um seleto grupo de clientes, como uma "prática extremamente perigosa".
  
  "Eu sei que a Microsoft fornece algum aviso antecipado ao Department of Homeland Security sobre questões que possam afetar a infra-estrutura básica. Entretanto, nunca vi a Microsoft fornecer informações antecipadas somente a clientes que pagam. Essa seria uma prática terrível", disse ele. "Isso só deveria ser permitido quando o assunto se referisse a vulnerabilidades que afetam a infra-estrutura básica. Não 'pague mais para saber antes'. É uma prática muito nociva." O vice-presidente da Gartner afirmou que o aviso poderia estar associado a um pesquisador independente ou a um hacker que ao encontrar uma vulnerabilidade e compartilhar um patch antes de ele estar disponível. "Se a Ford decidisse emitir notícias de recall por falhas em seus veículos endereçadas somente as pessoas que pagaram uma garantia estendida, isso não funcionaria! Esta seria uma prática horrível."
  
  
• Um recente artigo da NetwrkWorkd Fusion, "as políticas de licenciamento e as restrições legais da Microsoft que proíbem as escolas de distribuir patches de software a muitos estudantes estão deixando os executivos de TI nas universidades com milhares de estações de trabalho sem o mínimo gerenciamento, o que constitui um risco sério de segurança!".