Le traditionnel rapport annuel du CSI/FBI est téléchargeable ( après inscription obligatoire) sur le site de l'éditeur. Un rapport qui conclut à une baisse sensible des pertes en entreprises provoquées par la sinistralité informatique (168 000 dollars en moyenne par répondant en 2005, contre 204 000 dollars l'année précédente). Mais, sur les 616 « entreprises significatives », la moitié seulement aurait communiqué une estimation chiffrée des pertes en question. Et d'autres experts de remettre en question la représentativité et la qualité de l'échantillonnage du CSI, et notamment le Gartner qui titre « Don't Base Security Decisions on Industry Surveys ». « On ne mesure pas les grands chevaliers d'industrie à l'aune des PME » réplique le patron du CSI dans une lettre ouverte répondant au Gartner. Non-statisticiens s'abstenir.