日本語記事ではカットされていますが、元の英文記事 [com.com]（の後ろのほう）には、カーネギーメロン大学の調査データについて詳細な記述があります。
概要を書くと、
・以下は、公の報告書（National Cybersecurity Partnership's Working Group on the Software Lifecycleが4月に発表したリポート）に基づく。なお、そのデータはカーネギー大のソフトウェア工学研究所の分析を引用している
・一般的に、プロプライエタリなソフトウェアは、1,000行のコードあたり1～7つの欠陥（バグ）を持っている
・これを570万行のコードに換算すると、「ざっと5,700～40,000個のバグ」に相当する
……ということで、「985個のバグは少ない」と結論付けているようです。
＃ここはカットしないでほしかった＞CNET日本
補足：カーネギーメロン大学の調査データ (スコア:4, 参考になる)
概要を書くと、
・以下は、公の報告書（National Cybersecurity Partnership's Working Group on the Software Lifecycleが4月に発表したリポート）に基づく。なお、そのデータはカーネギー大のソフトウェア工学研究所の分析を引用している
・一般的に、プロプライエタリなソフトウェアは、1,000行のコードあたり1～7つの欠陥（バグ）を持っている
・これを570万行のコードに換算すると、「ざっと5,700～40,000個のバグ」に相当する
……ということで、「985個のバグは少ない」と結論付けているようです。
＃ここはカットしないでほしかった＞CNET日本