Bird zufolge ordnet der HIH Index verstreute und uneinheitliche Rohdaten in eine fortlaufende Liste ein. Zum Zeitpunkt des Berichts enthält der Index Angaben zu mehr als 100 Vorfällen. Zu den aktuellsten Einträgen zählen demnach gemeldete Datenschutzverletzungen bei Fairlife von Coca-Cola, Centers Lab, Mount Royal University und Accenture.

Jeder Eintrag wird im HIH Index nach der Belastbarkeit seiner Quelle eingestuft. Eine primäre SEC-Meldung gilt als „verifiziert“, eine Eigendarstellung des Unternehmens als „bestätigt“ und ein Medienbericht als „abgeleitet“. Nach Bird soll damit auf einen Blick erkennbar sein, wie stark ein einzelner Datensatz tatsächlich belastbar ist.

Zusätzlich zu den beiden Verzeichnissen enthält die Website eine statische Referenztabelle mit Jahreswerten aus dem Internet Crime Complaint Center des FBI und aus IBMs Bericht „Cost of a Data Breach“. Das FBI weist darin für 2025 fast 20,9 Milliarden US-Dollar an gemeldeten Verlusten aus, IBM durchschnittliche Kosten von 4,44 Millionen US-Dollar pro Datenschutzverletzung.

Für Bird stützen diese Berichte seine grundsätzliche Kritik: Die Kosten pro Vorfall hätten sich über ein Jahrzehnt kaum verändert, während die insgesamt gemeldeten Verluste grob um 35 Prozent pro Jahr gewachsen seien. Er sagte SecurityWeek: „Das bedeutet nur eines — die Hacker verdienen nicht mit derselben Zahl an Opfern mehr Geld.“ Stattdessen, so Bird, scheiterten jedes Jahr deutlich mehr Unternehmen an Cybersicherheit, und Angreifer verdienten daran, dass Sicherheitsmaßnahmen in diesen Firmen schlecht umgesetzt würden.

Sein Buch und der Index seien, so Bird, nicht als Schuldzuweisung gedacht. „Was wir in der Cybersicherheit aufgebaut haben, ist rational. Aber es ist rational auf Grundlage der falschen Daten und Eingaben — wir messen Aktivität, wir messen nicht Leistung und Ergebnisse.“ Damit zielt er auf eine Branche, die nach seiner Einschätzung vor allem Tätigkeiten erfasst, nicht aber wirtschaftliche Resultate.

Warum der HIH Index keine Gesamtsumme der Schäden ausweist, begründet Bird schlicht mit der Datenlage. Der Großteil der Einträge trage den Vermerk, dass der Schaden noch nicht beziffert sei. Wo Zahlen vorliegen, stammten sie zudem aus verschiedenen Evidenzstufen. Ein in einer SEC-Meldung bestätigter Verlust sei nicht mit einer aus einem Nachrichtenbericht abgeleiteten Schätzung gleichzusetzen. Beides zusammenzurechnen, würde laut Bird eine scheinbar präzise Zahl erzeugen, die inhaltlich nicht belastbar ist.

Genau davon wolle sich das Projekt absetzen. Als Gegenbeispiel nennt Bird die in der Branche verbreitete Billionen-Dollar-Schätzung zur Cyberkriminalität von Cybersecurity Ventures, die im Quelltext als umstritten beschrieben wird. „Wenn man die Zahlen summiert, entsteht ein Mythos — es sind dann keine Daten mehr; bestenfalls wird daraus eine Vorhersage und schlimmstenfalls eine Prognose“, sagte Bird. Die Verluste würden so stark unterberichtet, dass ein solcher Ansatz nur eine weitere Variante desselben Problems erzeugen würde: viel Rätselraten mit mehr Quellenangaben.

Bird betreibt das Projekt allein, ohne Redaktion und ohne externen Datenanbieter; die beiden Verzeichnisse hält er mit selbst entwickelten Abruf- und Nachverfolgungswerkzeugen aktuell. Zugleich betont er, dass der Datensatz noch jung ist, weil auch die SEC-Meldepflicht, auf der ein Teil des Projekts basiert, erst seit 2023 besteht. Er zieht dabei einen direkten Vergleich zu Troy Hunts Datenpannen-Benachrichtigungsdienst Have I Been Pwned, der ebenfalls klein begonnen habe und gewachsen sei, weil es sonst keine vergleichbare Anlaufstelle gegeben habe.