[Dîner-débat] Secteurs régulés : déni de service, l'angle mort qui persiste

« Se conformer à une règle, c'est éviter la sanction. Se protéger, c'est anticiper l'adversaire. Ces deux objectifs ne se confondent pas. » — Bruce Schneier, expert en sécurité informatique 

Dans les secteurs bancaire, assurantiel et public, la cybersécurité est encadrée par des cadres réglementaires exigeants : DORA, NIS2, les référentiels ANSSI, le ReCyF... Ces normes imposent des standards élevés et représentent un effort considérable pour les organisations. Pourtant, la conformité n'est pas une garantie d'invulnérabilité.  

Le cas de La Poste, victime d'une attaque par déni de service le 22 décembre dernier — 68 heures d'interruption — en est la démonstration la plus récente et la plus parlante. Car le DDoS est souvent traité comme un sujet réglé : on coche la case contractuelle, on délègue à l'opérateur, on passe à autre chose. Jusqu'au jour où ça tombe. Et quand ça tombe dans un secteur critique, les conséquences — opérationnelles, réputationnelles, réglementaires — sont immédiates. 

Or, lLes attaques par déni de service ont pourtant profondément évolué : volumétriques, applicatives, multi-vecteurs, couplées à d'autres modes opératoires... Elles gagnent en sophistication pendant que la perception du risque, elle, stagne. La France reste l'un des pays d'Europe les plus ciblés, et les organisations des secteurs régulés figurent en bonne place dans les cibles prioritaires des attaquants. 

Alors, où en sont réellement les CISO face au DDoS ? Quelles protections sont en place — et lesquelles ne le sont pas encore, et pourquoi ? Comment avancer concrètement sur un chantier souvent sous-estimé, sous-budgété, voire sous-traité sans réelle maîtrise ? 

Ce dîner-débat participatif, organisé par Alliancy en partenariat avec IMS Networks, réunit les CISO et experts cyber du secteur public, de la banque et de l'assurance pour confronter leurs réalités opérationnelles et explorer ce qui fonctionne vraiment face aux attaques DDoS : 

• Quelles sont les meilleures pratiques anti-DDoS aujourd'hui — et pourquoi ne sont-elles pas encore systématiquement déployées dans les secteurs régulés ? 

• Quels sont les freins réels à leur mise en œuvre : budget, gouvernance, complexité des architectures, dépendance aux opérateurs, une garantie contractuelle de protection théorique ? 

• Comment structurer une feuille de route crédible sur ce chantier — et comment convaincre en interne d'en faire une priorité ?