« La NSA est parfaitement au fait de l’aura de scandale qui entoure cette activité. Dans son infographie, elle donne une statistique importante : plus de 91 % des failles découvertes (sur un total non précisé) font l’objet d’une communication aux entreprises, qui peuvent donc les corriger une fois qu’elles ont les détails. L’agence explique qu’il s’agit d’une partie importante de son travail puisque le colmatage des vulnérabilités participe de la sécurité nationale.Chaque fois qu’une faille est découverte, elle transite à travers un processus interne d’évaluation. Ce n’est qu’au bout de ce dernier qu’il est décidé si la faille sera révélée à l’entreprise ou non. Les 9 % qui restent répondent à deux cas de figure : soit l'entreprise concernée était déjà au courant et avait corrigé la faille, soit la NSA en gardait les détails pour ses propres besoins.

[...]

Pour autant, les informations données par la NSA dans sa communication sont très partielles et des zones d’ombre importantes subsistent. Par exemple, elle insiste sur le chiffre des 91 %, mais elle ne dit à aucun moment si ces failles ont été utilisées de manière active avant qu’il soit envisagé d’en partager les détails avec l’éditeur ou le constructeur concerné. Certes, elle aborde le caractère « rapide » de ces partages, mais sans aucune liste ou statistique précise, il est impossible de savoir ce qu’elle fait réellement de ces informations, ni de la hâte avec laquelle elle s’empresse de vouloir rendre service.

[...] Autre point intéressant, cette « immense majorité » des failles comprend toutes les vulnérabilités achetées directement auprès de certains acteurs. [ NDLR : comme l'ex société commerciale française VUPEN ]

[...]

Autre exemple, celui de la Navy. Il y a quelques mois, une offre publique avait le mérite d’être particulièrement claire : l’armée américaine cherchait à acquérir des failles de sécurité de type 0-day. L’annonce, publiée comme les autres dans l’objectif d’attirer les éventuelles entreprises intéressées avait été promptement retirée juste après avoir été repérée par l’EFF. [...]

De fait, la communication de la NSA vise sans doute à restaurer un certain niveau de confiance, au moins pour faire accepter l’idée que, dans le fond, « on n’a rien sans rien ». Mais l’agence ne répond pas aux questions posées depuis les premières révélations d’Edward Snowden, et elle ne le fera pas : ces informations sont classifiées. Sa seule capacité de communication réside dans la publication de chiffres sans réelle importance, et que l’on peut donc mettre en avant. »