Le 29 septembre 2026, un rapport officiel a levé le voile sur le piratage du site des impôts français, exposant les données de centaines de milliers de contribuables. Derrière les lignes techniques du document se cache une vérité plus dérangeante : la faille n’était pas seulement logicielle, mais humaine. Une décision prise sous pression – privilégier la disponibilité du service au détriment d’une mise à jour critique – a suffi à ouvrir une brèche exploitable. Ce cas n’est pas isolé. Il rejoint une constante des crises cyber : la technologie échoue rarement seule. C’est l’arbitrage en situation de stress qui scelle le destin d’un système.
L’arbitrage impossible : disponibilité vs sécurité
Dans le feu de l’action, les équipes techniques des impôts ont dû trancher entre deux impératifs contradictoires :
- Maintenir le service en ligne, sous peine de paralyser la collecte fiscale et de déclencher une crise politique.
- Appliquer un correctif urgent, identifié comme critique par les équipes de sécurité, mais nécessitant une interruption de service.
Ce dilemme n’est pas théorique. Il se joue dans des salles de crise, des centres d’appels saturés, ou devant des écrans où clignotent des alertes en rouge. L’Attaque, la fiction immersive du Predictive CyberProgram (PCL), en fait un scénario clé. Les participants y sont placés dans la peau d’un responsable qui doit choisir, en temps réel, entre deux mauvaises options. L’objectif ? Comprendre que la cybersécurité n’est pas une case à cocher, mais une série de décisions sous tension.
L’attestation PCL : simuler pour anticiper
Le Predictive CyberProgram ne se contente pas de documenter les bonnes pratiques. Il les fait vivre. L’attestation d’engagement PCL repose sur trois piliers :
- Savoir : identifier les vulnérabilités techniques et organisationnelles.
- Comprendre : analyser les conséquences d’un arbitrage en situation de crise.
- Agir : prendre une décision sous pression, avec des données incomplètes et des enjeux contradictoires.
Dans le cas du piratage des impôts, les équipes savaient probablement qu’une mise à jour était nécessaire. Elles comprenaient aussi les risques d’une interruption. Mais agir sous pression a révélé un angle mort : l’absence de protocole clair pour évaluer le coût réel d’une indisponibilité vs celui d’une faille exploitée. C’est précisément ce type de scénario que l’arc savoir-comprendre-agir du PCL permet de simuler. Les participants y expérimentent des arbitrages similaires, avec des feedbacks immédiats sur les conséquences de leurs choix.
Le Predictive CyberScore (PCS) : mesurer l’impact humain
Le piratage des impôts ne se résume pas à une faille technique. Il met en lumière un risque organisationnel : la tendance à sous-estimer l’impact humain dans la chaîne de décision cyber. Le Predictive CyberScore (PCS) intègre cette dimension via deux indicateurs clés :
- HVS (Human Vulnerability Score) : évalue la capacité d’une organisation à gérer les arbitrages sous pression, en tenant compte des biais cognitifs et des contraintes opérationnelles.
- h-ROSI (Human Return on Security Investment) : mesure le retour sur investissement des actions visant à réduire les risques humains, comme la formation en situation de crise ou la mise en place de protocoles d’urgence.
Pour un COMEX, ces indicateurs offrent une lecture plus fine que les audits traditionnels. Ils révèlent où se nichent les failles décisionnelles, celles qui transforment une vulnérabilité technique en crise systémique. Dans le cas des impôts, un PCS élevé aurait pu alerter sur l’absence de protocole pour évaluer le coût d’une interruption vs celui d’une faille exploitée.
Transformer l’échec en levier d’action
Le piratage des impôts n’est pas une fatalité. Il est le symptôme d’un système où la cybersécurité est encore trop souvent perçue comme une contrainte technique, plutôt que comme un enjeu de gouvernance. Pour éviter de reproduire ces erreurs, trois actions concrètes s’imposent :
- Intégrer des scénarios de crise dans les plans de continuité d’activité : simuler des arbitrages sous pression, comme le fait L’Attaque, pour identifier les angles morts.
- Former les décideurs aux enjeux cyber : un COMEX doit comprendre que la disponibilité d’un service n’est pas un absolu, mais un choix avec des conséquences mesurables.
- Mesurer l’impact humain via le PCS : utiliser des indicateurs comme le HVS et le h-ROSI pour objectiver les risques décisionnels et prioriser les actions correctives.
La cybersécurité ne se résume pas à des pare-feux ou des correctifs. Elle se joue dans les salles de crise, devant des écrans où clignotent des alertes, et dans les têtes de ceux qui doivent trancher entre deux mauvaises options. Le piratage des impôts nous rappelle une vérité simple : la faille la plus critique est souvent celle que l’on n’a pas su anticiper.