Et pendant ce temps au Ministères de la défense:
http://www.assemblee-nationale.fr/1...

"Contre-Amiral Arnaud Coustillière. De manière générale, les pays anglo-saxons ont choisi de confier l’ensemble de leur cyberdéfense aux services de renseignement. Cela ne correspond pas à notre culture et, en France, un partage des tâches est opéré entre les services de renseignement, d’une part, et l’ANSSI et mes services, d’autre part. Pour reprendre la comparaison avec les milieux, ce qui nous intéresse c’est en quelque sorte le contenant, les métadonnées, tandis qu’il appartient aux services de renseignement de caractériser les intentions et objectifs, le contenu. Ce partage me paraît sain.

S’agissant de l’utilisation des données personnelles confiées par les utilisateurs à de grandes sociétés opérant dans le domaine de l’Internet, il convient de relever le paradoxe entre cette remise volontaire par tout un chacun et le fait qu’en France l’État ne peut accéder à ces données que de manière extrêmement encadrée, sous le contrôle étroit de la CNIL. En ce qui concerne la prévention, les grands éditeurs de logiciels, dont les produits ont tendance à devenir des normes, ne sont pas forcément moins bons en matière de sécurité de leurs produits que les développeurs de logiciels libres. Ils ont en effet tout intérêt à faire évoluer leur produit commercial et à en assurer la fiabilité dans la durée. Inversement, le logiciel libre est développé par une communauté, parfois à géométrie variable. En tout état de cause, le débat entre logiciel commercial et logiciel libre tourne parfois à la « guerre de religion ».

Le ministère de la Défense a fait le choix d’un accord-cadre avec Microsoft, ce qui, de mon point de vue, ne présente pas un risque de sécurité supérieur par rapport à l’utilisation de logiciels libres. Dans ce dernier cas, il aurait fallu développer une capacité forte de suivi et de contrôle pour se garantir effectivement contre les risques éventuels. En la matière, il convient d’adopter une approche mesurée et pragmatique, tenant compte à la fois du coût, des risques et de contraintes opérationnelles, dont notamment le lien avec l’OTAN. On peut en outre constater que ce débat sur les logiciels libres a permis d’engager une baisse tendancielle des prix pratiqués par les grands éditeurs de logiciels et, parallèlement, à une décroissance du recours aux logiciels libres."
[...]
M. Jean-Yves Le Déaut. Je ne partage votre optimisme sur la question des codes-sources. Nous n’avons jamais rien obtenu de Microsoft. Je pense que l’utilisation de logiciels libres offre plus de garanties.
Commandant Hervé Mermod, chef du centre d’analyse en lutte informatique défensive du ministère de la Défense (CALID). Pour essayer de compléter les propos de l’amiral, je dirais que les matériels sont aujourd’hui également concernés par les attaques informatiques et l’enjeu se situe davantage sur ce point que dans la maîtrise des codes sources. Les risques se situent dans les nombreux périphériques de systèmes d’information globaux dont le logiciel ne constitue qu’une brique. D’où la politique menée par la DGA et visant à développer des équipements de confiance nationaux en périphérie permettant de maîtriser les risques relevant des systèmes et matériels. On a en effet pu constater des attaques par des portes dérobées installées sur des cartes réseaux ou des clés 3G de fabrication étrangère.

Le problème n'est pas propre qu'à MS. Bluetouff critiquait des boites comme VUPEN dont le commerce est de vendre des failles 0-day alors que cela est illégale en France de les divulguer publiquement (mais pas de les garder pour soi et de les vendre très cher).