Vamos a ver.
La primera pregunta es ¿que es lo que controlas?. Porque si controlas windows es una insensatez pasar a otra cosa y si controlas linux es insensato pasar a windows. Es preferible conducir bien un utilitario que mal un ferrari y abrirse la cabeza.
Yo he tenido durante 3 años un server Win 2003 con IIS y SQL server protegido por un router y un firewall de inspección de estado que se llama 8sign. Ataque he recibido de todo tipo, con éxito ninguno.
MySQL no es mas seguro que SQL Server. Lo que hace inseguro los sistemas es una mala programación y el dejar parámetros por defecto, y eso es un problema común a todos los entornos. Un IIS sobre un windows bien blindado puede ser tan seguro como un unix ..... (o linux).
Mi penultimo proyecto fue en una entidad financiera, supervisada por la CNMV y el Banco de España, y todo estaba montado sobre windows, eso si, protegido como la reina de inglaterra.
Saludos
Hooker