Для оценки времени, уходящего на исправления, в докладе Джонса применяется показатель "сутки риска" (days-of-risk, DoR) - период между публикацией сведений об уязвимости и выходом заплаты. По его сведениям, для Windows 2000, XP и Server 2003 в среднем DoR составлял на протяжении 2006 года 29 суток, тогда как для Mac OS X - 46, для SUSE Linux Enterprise - 74, для Red Hat Enterprise Linux - 107, для Solaris - 168. При более детальном разбиении операционных систем по версиям, ситуация, однако, выглядит несколько иначе. Для Windows XP SP2 DoR равнялся 53,3 суток, для Mac OS X 10.4 - 54,2, для SUSE Linux Enterprise Desktop 9 - 56,2, для Red Hat Enterprise Linux 4 Workstation - 70,5. Опубликованы также данные по количеству уязвимостей в разных ОС за 2006 год. В Windows XP их было найдено 90, в Mac OS X 129, в SUSE 232, в Red Hat Linux - 301.