Existem vários conceitos ai e envolvem tópicos amplos que não tem um conjunto de definições muito claro ou comum. Mas, vamos tentar elucidar o problema real que mais me parece de definição.
Primeiro, rodar uma ferramenta de teste, telnet, rede, monitoramento, ping ou qualquer serviço sem autorização da equipe responsável e que tira o serviço do ar, independente do tempo, é um ataque, não importa a motivação. Você não tinha conhecimento do SLA dos serviços contratados, nem de quais rotinas o ambiente está rodando naquele momento e o nivel de disponibilidade contratual (inclusive com multas) é medido pela disponibilidade do serviço. Um teste, só pode ser considerado teste, se existe um comportamento para ser testado e conhecimento de quem opera o ambiente, já que por definição, um teste é uma ação controlada. Mesmo pesquisadores de segurança, só realizam ações ou divulgam dados, sob autorização.
Segundo, testes de Stress, sobrecarga e segurança, novamente, por definição são ações com escopo controlado. A responsabilidade técnica sobre a falha deve recair sobre a equipe que deveria implementar a especificação que gera o motivo do teste. Por exemplo, você ter como requisito não funcional de um projeto, atender a uma taxa x de conexões tcp, por segundo. Esse tipo de requisito é feito com base na previsão de numero de usuários da operação/produto. E o teste, novamente, com objetivo e definição previa gerada pela demanda (que serviu de base para compra de equipamentos, cluster, redundância, velocidade de discos, etc) é o motivo da execução da ferramenta. Para saber se o teste atende as especificações. Sendo assim, se estava especificado que a carga do DDoS seria corrigida via firewall, culpa da infra, se era via código, culpa do Dev.
Terceiro, se você trabalha com operações com processos de produto/software incrementais, que não possuem requisitos neste aspecto (deveria? certo?), geralmente as definições de papeis da equipe e as soluções mais triviais são a resposta. Mas, eu consideraria culpa dos 2 times. Porque alguem deveria ter checado, em ambientes sérios a implementação de redundância é algo padrão para os serviços se vai ser na camada de software ou hardware é apenas uma questão de custo benefício.
Os próprios procedimentos de recovery do ambiente são regularmente testados para auditoria interna e verificação de estabilidade/status de funcionamento da recuperação. O tipo de recuperação depende do que foi especificado nos procedimentos operacionais. Então, a culpa, por si só definida nos papéis e planos de ação, já esta definida.
Se ainda assim, ninguém pensou que podia sofrer uma ataque, é de todo mundo. Até porque, discutir a culpa sobre algo que não foi definido e encontrar um culpado (um time ou pessoa) além de ser uma incoerência, não ajuda em nada a resolver o problema e ainda cria discórdia.
Isso é muito mais transparente em projetos com Especificação formal ou projetos com requisitos de tempo real ou provas formais do software, onde é preciso provar que o software atende os requisitos. Em ambientes onde isso não é tão 'profundo' na cultura, as vezes, passa desapercebido.
Você pode encontrar mais informações em referências as metodos formais e engenharia de software de uma forma geral, além dos próprios livros de segurança, mas, "não existe bala de prata".
Uma boa discussão sobre falhas de software pode ser encontrada no livro Como Quebrar Códigos (http://www.buscape.com.br/como-quebrar-codigos-a-arte-de-explorar-e-proteger-software-greg-hoglund-gary-mcgraw-8534615462)
Você pode verificar material padronizado sobre segurança e padrões de vulnerabilidades e ataques aqui (https://www.owasp.org/index.php/Main_Page)
E uma introdução e visão da necessidade da utilização de métodos formais pode ser encontrado no link: http://www.ufpa.br/cdesouza/teaching/es/carla_metodos_formais.pdf