Comment les CISO font évoluer leurs pratiques face à la transformation des attaques par déni de service 

Lorsque des services emblématiques du groupe La Poste ont été perturbés pendant plusieurs jours à la fin de l'année 2025, beaucoup de responsables cybersécurité ont vu dans cet épisode davantage qu'une simple attaque par déni de service (DDoS). Derrière les perturbations visibles, c'est une conviction qui s’est renforcée : le sujet des DDoS a changé de nature en quelques années. 

Quelques mois plus tard, nous avons mené chez Alliancy un atelier de travail avec plusieurs CISO et responsables cybersécurité de grandes organisations françaises pour revenir sur cette évolution. Malgré des contextes très différents, leurs constats (et les nôtres) convergent. Les attaques DDoS ne relèvent plus uniquement de la protection des infrastructures réseau. Elles interrogent désormais la gouvernance des risques, les choix d'architecture et, plus largement, la capacité des organisations à maintenir leurs activités dans un environnement de menace devenu beaucoup plus mouvant. 

Le problème de la familiarité 

Le premier enseignement est sans doute celui-ci : le DDoS reste un risque largement sous-estimé précisément parce qu'il paraît familier. Beaucoup d'organisations pensent avoir traité le sujet depuis longtemps. Une protection est prévue dans le contrat opérateur, une solution spécialisée est déployée, les équipes réseau considèrent que le dispositif est en place. Le sujet semble clos. 

L'un des participants résumait cette situation avec une formule qui a fait écho chez plusieurs de ses homologues : « Les équipes réseau estimaient que c'était un sujet d'infrastructure. Il y avait un tick-box, le sujet était clos ». Mais cette perception évolue rapidement à mesure que les attaques changent de nature. 

La réalité des DDoS en 2026 

Les campagnes actuelles combinent fréquemment plusieurs vecteurs, alternant attaques volumétriques, protocolaires et applicatives. Elles évoluent en permanence au cours d'un même incident et s'inscrivent souvent dans une séquence d'attaque plus large. Le déni de service peut servir à détourner l'attention du SOC, masquer une compromission en cours, ralentir les investigations ou faciliter d'autres actions offensives. L'essor de l'intelligence artificielle permet en outre aux attaquants d'automatiser davantage leurs phases de reconnaissance et d'adapter leurs modes opératoires avec une rapidité inédite. 

Autrement dit, le DDoS n'est plus seulement une menace de disponibilité ; il devient un levier au service d'attaques beaucoup plus complexes. Cette évolution conduit les CISO à modifier leur manière d'aborder le sujet en interne. Pendant longtemps, les discussions portaient principalement sur la capacité technique à absorber plusieurs dizaines ou centaines de gigabits de trafic. Désormais, les responsables cybersécurité cherchent davantage à parler le langage du risque métier. Il faut parler « interruption » ; de services, de business, de quotidien métier… 

Ce changement de vocabulaire n'est pas anodin. Les nouvelles exigences réglementaires, notamment NIS2 et DORA, renforcent, elles aussi, une logique centrée sur la résilience opérationnelle. Ce qui importe n'est plus uniquement la capacité à filtrer un trafic malveillant, mais la faculté de maintenir les services essentiels malgré une attaque. 

Renouveau des pratiques de sécurité 

Cette approche oblige les CISO à réinvestir un sujet qui était parfois resté cantonné aux équipes réseau. Plusieurs CISO ont ainsi évoqué la nécessité de disposer d'une vision beaucoup plus complète des dépendances critiques de leur organisation : opérateurs télécoms, interconnexions Internet, fournisseurs cloud, services SaaS, infrastructures DNS, partenaires ou encore chaînes de sous-traitance numérique. Une attaque DDoS met souvent en évidence des fragilités qui dépassent largement le périmètre du système d'information lui-même. Le changement de perspective est majeur. 

Une autre problématique qui transforme la pratique des CISO est une réalité délicate : les dispositifs anti-DDoS sont trop rarement évalués dans des conditions proches de celles rencontrées lors d'une attaque réelle. Or les incidents récents montrent qu'une attaque complexe ne se résume jamais à l'activation automatique d'un mécanisme de protection. Les vecteurs évoluent toutes les quelques minutes, les règles de mitigation doivent être ajustées en permanence et des arbitrages opérationnels doivent parfois être pris dans l'urgence. 

Ces exercices permettent également de répondre à des questions beaucoup plus stratégiques : quels services faut-il préserver en priorité ? Quels flux peuvent être temporairement interrompus ? Quels arbitrages auront le plus faible impact pour l'activité ? Derrière la technique apparaît finalement un véritable sujet de continuité d'activité. 

L’évolution du rapport aux prestataires 

Bien sûr, la résilience ne dépend pas uniquement d'une solution anti-DDoS performante : la question plus globale est celle de la capacité d’une organisation à continuer de fonctionner lorsqu'une partie de son architecture est dégradée. Mais ce point sur les solutions pointe le fait que les attentes vis-à-vis des fournisseurs changent elles aussi. 

La qualité d'une protection ne se résume plus à un chiffre de capacité théorique. Les responsables cybersécurité attendent désormais un partenaire capable d'assurer une présence opérationnelle permanente, de partager une visibilité en temps réel sur les attaques, d'ajuster les mécanismes de défense pendant l'incident et de produire, une fois celui-ci terminé, les éléments permettant d'améliorer durablement les architectures. « Avoir un partenaire qu'on peut appeler dimanche matin à 9 heures ou samedi soir à 23 heures, c'est devenu un critère déterminant », nous rappelait avec justesse un CISO ! 

Les attaques DDoS jouent donc aujourd'hui un rôle de révélateur. Elles mettent à l'épreuve la gouvernance des risques, la connaissance des dépendances, la qualité des plans de continuité, les choix d'architecture et la capacité des organisations à décider sous contrainte. C’est pourquoi le sujet quitte progressivement le seul domaine des équipes réseau pour devenir une préoccupation des CISO… et par extension, des directions générales et des comités des risques.