Osservatorio BSR · ricerca

CyPI — Cyber Perturbation Index

Non conta gli attacchi. Si chiede se la giustizia di un Paese porta un reato informatico fino a una condanna, e se quel Paese pubblica abbastanza dati per accorgersene.

Perché

Un’impresa che opera in molti Paesi sa che cosa sono le norme sulla protezione dei dati. Non sa se la giustizia di quel Paese porta un reato informatico fino a una condanna, e non sa se il Paese pubblica numeri sufficienti per accorgersene. Sono due domande diverse, e la seconda viene prima: dove i numeri non si pubblicano, nessuno — nemmeno chi dovrebbe rispondere di un attacco — può dire che cosa succede dopo la denuncia.

Gli indici esistenti misurano ingressi — leggi, strategie, squadre di risposta — oppure origine, cioè dove stanno gli autori. L’ITU Global Cybersecurity Index copre 194 Paesi su cinque pilastri di impegno; il National Cyber Security Index 154 Paesi con indicatori a prova pubblica; l’indice europeo di ENISA 27 Stati; il World Cybercrime Index 97 Paesi, e misura dove stanno gli autori. Nessuno usa le uscite giudiziarie né una trasparenza osservata. È lo spazio di questo lavoro, e non pretende di fare meglio degli altri: il confronto con essi serve soltanto a verificare che le misure non siano scollegate.

Che cosa CyPI non dice

Questa sezione viene prima dell’aritmetica, non dopo, e accompagna ogni valore. Se queste righe non compaiono accanto a un valore, il valore non si pubblica.

• Non misura quanti attacchi un Paese subisca, né se un’impresa che vi opera sia al sicuro. Un valore alto non vuol dire «sicuro».
• Non misura da dove vengono gli attacchi e non attribuisce.
• Non misura l’applicazione delle norme: la presenza di una legge non è il suo rispetto.
• Non distingue un sistema che funziona da un fenomeno più grande: più condanne possono voler dire una giustizia che funziona o più reati commessi, e le fonti pubbliche non lo distinguono.
• «Opaco» non è un’accusa. Significa «non verificabile dalle fonti pubbliche». Un nostro limite di lettura non è mai opacità del Paese: ha un suo stato, «non letto».
• Non è una graduatoria fra Paesi, non è una valutazione di alcun governo, non è un parere legale e non prevede.

Che cosa misura

L’assetto giurisdizionale di un Paese, inteso come la sua capacità di portare un reato a condanna. L’unità è il Paese del bene: dove stanno ciò che l’impresa difende e il rimedio che cerca, non il Paese dell’attaccante. Il valore è costruito con pochi fattori, dichiarati uno per uno:

• La norma — esiste una legge generale su dati e privacy in vigore?
• L’autorità — esiste un’autorità di controllo sulla protezione dei dati, istituita e operativa, cioè descritta al presente, accreditata e con atti di applicazione?
• La trasparenza, che fa da porta — i dati di polizia e di giustizia di quel Paese si possono leggere? Cinque criteri osservabili: tre misurati (se polizia o procura pubblicano statistiche, se i reati hanno una classificazione dichiarata, se la cadenza è stabile su tre anni) e due descrittori (se il Paese risponde ai questionari internazionali, se le sentenze sono accessibili).
• Le cifre della filiera — quante segnalazioni, registrazioni, persone perseguite, arresti e condanne, quando la fonte le dà, ciascuna con la sua unità.
• La cooperazione internazionale — i trattati in vigore, come descrittore.

I reati si leggono in due canali che non si sommano mai: quello dei sistemi (accesso abusivo, intercettazione, interferenza con dati e sistemi) e quello delle frodi informatiche. Dove la fonte mescola le due cose, il dato resta nell’archivio con la marca «non separabile» e non entra in nessuno dei due. I reati di contenuto e di espressione sono esclusi: dove si arresta per ciò che si scrive, le condanne «sul cybercrimine» possono essere politiche e conterebbero come efficacia.

La porta decide se le cifre contano. Le cifre della filiera entrano nel valore solo dove la trasparenza del Paese è «leggibile» per quel canale. Dove è «parziale» il valore si mostra con la marca; dove è «opaco» o «non letto» non c’è, e si scrive perché. Nessun Paese esce dal panel per questo, e le cifre di Paesi diversi non si confrontano mai sui livelli grezzi: si legge la traiettoria dello stesso Paese nel tempo.

Esiste anche un «profilo degli oneri» — gli obblighi che gravano sull’impresa nei vari Paesi — che non fa parte di questa ricerca: è un livello di consulenza di STAIRS e si presenta sempre come tale.

Che cosa si verifica, e che cosa potrebbe smentirlo

L’ipotesi principale è una sola, ed è detta in anticipo. La trasparenza di un Paese, misurata al giorno 91, è una porta affidabile se, fra i Paesi «leggibili» e i «parziali», la quota di quelli che pubblicano una serie stabile negli anni 2026 e 2027 è più alta fra i primi. Una serie è stabile se lo stesso pubblicatore continua a pubblicare e se non compaiono salti non spiegati. Il test è esatto, a una coda, con soglia 0,05; con meno di dieci Paesi in uno dei due gruppi il risultato si pubblica come «non conclusivo».

Le altre ipotesi — l’accordo con gli indici esistenti, il ruolo della cooperazione, il rapporto fra stadi della filiera — sono dichiarate esplorative, e si dice perché. Il disegno dice anche che cosa lo smentirebbe: se la porta non regge, la trasparenza diventa un descrittore e il valore si riscrive come serie nuova; se quasi nessun Paese risulta leggibile, o lo stadio «condanna» resta vuoto per l’intero biennio, il risultato pubblicabile è proprio quello, e si pubblica.

Un limite che il documento dichiara per primo: la ricerca guarda indietro di tre anni per misurare la cadenza, quindi la porta e l’esito sono in parte parenti. L’ipotesi non scopre che chi ha pubblicato continua a pubblicare, ma se lo fa senza salti non spiegati. Il pilota ha già visto salti non spiegati proprio fra i Paesi che pubblicano con regolarità apparente: se l’ipotesi fosse smentita, la porta perderebbe il suo ruolo.

Che cosa è stato guardato prima del deposito

Tre cose, e nessuna vale come conferma. Una cornice di stampa: soli conteggi dei titoli che portano il tema «attacco informatico» nel corpus già raccolto dal 9 settembre, senza alcuna correlazione. Un pilota su ventiquattro Paesi estratti a sorte, che ha servito a decidere sei cose e nient’altro: non stima l’indicatore, non classifica Paesi, non dice quanti Paesi siano leggibili nel mondo. E una prima ricerca sulle condanne in dieci Paesi del pilota: i dati sulle condanne esistono probabilmente quasi ovunque, ciò che manca è la forma in cui sono pubblicati.

Il campione del pilota è riproducibile da chiunque: lo si ottiene dalla cornice dei 193 Stati, dal programma depositato e da un seme esterno — i numeri del Lotto del 7 novembre 2026 —, mentre le impronte dei tre file erano state comunicate per posta prima dell’estrazione. Il documento dichiara anche il limite della verifica di quel seme. I Paesi che non si sono riusciti a leggere non sono stati sostituiti: restano nel panel come «non letti», perché un nostro limite non è un silenzio del Paese.

I limiti, dichiarati

• Misuriamo ciò che i Paesi pubblicano e che questo metodo sa leggere, non il reato.
• Il pilota ha guardato ventiquattro Paesi su centonovantatré e non rappresenta il mondo.
• La lettura nelle lingue locali non è ancora fatta: il panel è «ciò che si legge in inglese, francese, spagnolo e russo con ricerca sul web». Un Paese letto solo in parte può cambiare stato quando la lettura sarà estesa, e il cambio si dichiara.
• Lo stadio «condanna» è quasi vuoto. Molti dati arrivano dalla stampa e non dal documento primario.
• Il segno — «più condanne vuol dire più efficacia» — è una scelta dichiarata, non una scoperta.
• La cornice dei 193 Stati esclude Taiwan, la Santa Sede, la Palestina e i territori non indipendenti, per limite delle fonti e non per giudizio.
• La preregistrazione non ha avuto revisione esterna e non ha finanziamenti esterni.

Chi legge, e con che mezzi

La firma è di una persona: Pietro Domenichini, direttore dell’Istituto. La lettura delle fonti è fatta da un modello linguistico, con ricerca sul web, ed è dichiarata come uno strumento: ogni cifra porta la sua fonte, il suo indirizzo e la sua data, e ogni lettura fallita ha la sua riga nel registro. Le versioni del modello e della lingua di lettura viaggiano con ogni riga del dato.

Il calendario, dichiarato in anticipo

Dopo il giorno 90 e prima del giorno 730 non si guarda la differenza fra i Paesi «leggibili» e quelli «parziali», e il fatto che non si guardi è parte del disegno. Il controllo tecnico della raccolta — copertura, righe mancanti, disaccordo del lettore con sé stesso — si fa e si pubblica, perché non tocca il confronto.

Come è costruito

Si archivia il fatto — le cifre pubblicate, con la fonte — e si deriva il modello in lettura. Un indice ricalcolato con un metodo migliore non è una correzione: è una ricostruzione, e si apre come versione nuova accanto alla vecchia. «Non letto» e «non trovato» sono righe del dato, non buchi. Una cifra data da un annuncio di stampa non sostituisce mai il documento primario.

La cornice di stampa, ogni giorno

Dal 13 novembre 2026 il Quotidiano dell’Osservatorio porta anche la cornice di stampa di CyPI: i titoli che hanno il tema «attacco informatico» nel corpus raccolto ogni giorno, con la loro quota sul totale e i paesi nominati. È lo strato 1 della preregistrazione. Misura attenzione, non incidenti: il tema è largo e contiene anche notizie che non sono attacchi. Non distingue i due canali, e il paese mostrato è quello che la raccolta attribuisce al titolo, non il Paese del bene su cui si misura CyPI: come la cornice assegna un evento a un Paese si verifica prima di ogni confronto, e quel controllo non è ancora fatto. Non entra nel valore e non è confermativa. Di ogni titolo si conservano soltanto i metadati.

Il video di presentazione (YouTube) →

L’Osservatorio BSR → · EPI, la ricerca sulle fonti sanitarie →