Il 29 settembre 2026, un rapporto ufficiale ha svelato l’hacking del portale delle imposte francesi, esponendo i dati di centinaia di migliaia di contribuenti. Dietro le righe tecniche del documento si nasconde una verità più scomoda: la falla non era solo software, ma umana. Una decisione presa sotto pressione – privilegiare la disponibilità del servizio a scapito di un aggiornamento critico – è stata sufficiente ad aprire una breccia sfruttabile. Questo caso non è isolato. Si inserisce in una costante delle crisi cyber: la tecnologia raramente fallisce da sola. È l’arbitraggio in situazioni di stress a determinare il destino di un sistema.
L’arbitraggio impossibile: disponibilità vs sicurezza
Nel vivo dell’azione, le squadre tecniche delle imposte hanno dovuto scegliere tra due imperativi contrastanti:
- Mantenere il servizio online, rischiando di paralizzare la riscossione fiscale e scatenare una crisi politica.
- Applicare una patch urgente, identificata come critica dalle squadre di sicurezza, ma che richiedeva un’interruzione del servizio.
Questo dilemma non è teorico. Si ripete in sale crisi, centri di assistenza sovraccarichi o davanti a schermi con allarmi lampeggianti. L’Attacco, la fiction immersiva del Predictive CyberProgram (PCL), ne fa uno scenario chiave. I partecipanti si trovano nei panni di un responsabile che deve decidere, in tempo reale, tra due opzioni imperfette. L’obiettivo? Comprendere che la cybersicurezza non è una casella da spuntare, ma una serie di decisioni prese sotto pressione.
L’attestazione PCL: simulare per anticipare
Il Predictive CyberProgram non si limita a documentare le best practice. Le fa vivere. L’attestazione di impegno PCL si basa su tre pilastri:
- Sapere: identificare le vulnerabilità tecniche e organizzative.
- Comprendere: analizzare le conseguenze di un arbitraggio in situazione di crisi.
- Agire: prendere una decisione sotto pressione, con dati incompleti e obiettivi contrastanti.
Nel caso dell’hacking delle imposte, le squadre probabilmente sapevano che un aggiornamento era necessario. Comprendevano anche i rischi di un’interruzione. Ma agire sotto pressione ha rivelato un punto cieco: l’assenza di un protocollo chiaro per valutare il costo reale di un’indisponibilità rispetto a quello di una falla sfruttata. È proprio questo tipo di scenario che l’arco sapere-comprendere-agire del PCL permette di simulare. I partecipanti sperimentano arbitraggi simili, con feedback immediati sulle conseguenze delle loro scelte.
Il Predictive CyberScore (PCS): misurare l’impatto umano
L’hacking delle imposte non si riduce a una falla tecnica. Mette in luce un rischio organizzativo: la tendenza a sottovalutare l’impatto umano nella catena decisionale cyber. Il Predictive CyberScore (PCS) integra questa dimensione attraverso due indicatori chiave:
- HVS (Human Vulnerability Score): valuta la capacità di un’organizzazione di gestire gli arbitraggi sotto pressione, tenendo conto dei bias cognitivi e dei vincoli operativi.
- h-ROSI (Human Return on Security Investment): misura il ritorno sugli investimenti volti a ridurre i rischi umani, come la formazione in situazioni di crisi o l’implementazione di protocolli di emergenza.
Per un COMEX, questi indicatori offrono una lettura più precisa rispetto agli audit tradizionali. Rivelano dove si annidano le falle decisionali, quelle che trasformano una vulnerabilità tecnica in una crisi sistemica. Nel caso delle imposte, un PCS elevato avrebbe potuto segnalare l’assenza di un protocollo per valutare il costo di un’interruzione rispetto a quello di una falla sfruttata.
Trasformare il fallimento in leva d’azione
L’hacking delle imposte non è una fatalità. È il sintomo di un sistema in cui la cybersicurezza è ancora troppo spesso percepita come un vincolo tecnico, piuttosto che come una questione di governance. Per evitare di ripetere questi errori, tre azioni concrete sono imprescindibili:
- Integrare scenari di crisi nei piani di continuità operativa: simulare arbitraggi sotto pressione, come fa L’Attacco, per identificare i punti ciechi.
- Formare i decisori sugli enjeux cyber: un COMEX deve comprendere che la disponibilità di un servizio non è un assoluto, ma una scelta con conseguenze misurabili.
- Misurare l’impatto umano tramite il PCS: utilizzare indicatori come HVS e h-ROSI per oggettivare i rischi decisionali e prioritizzare le azioni correttive.
La cybersicurezza non si limita a firewall o patch. Si gioca in sale crisi, davanti a schermi con allarmi lampeggianti, e nelle menti di chi deve scegliere tra due opzioni imperfette. L’hacking delle imposte ci ricorda una verità semplice: la falla più critica è spesso quella che non si è riusciti ad anticipare.