Sévérité : CritiqueCSPM (posture de sécurité)

Données exposées publiquement par un bucket mal configuré

```text
curl -I https://exports-partenaire.s3.eu-west-3.amazonaws.com/clients_2026-09.csv
HTTP/1.1 200 OK
```

Détecter

Alerte CSPM « bucket accessible publiquement » ; un chercheur en sécurité signale que des exports clients sont téléchargeables sans authentification.

Symptômes

Alerte CSPM « bucket accessible publiquement » ; un chercheur en sécurité signale que des exports clients sont téléchargeables sans authentification.

Environnement

Bucket créé manuellement pour un partage ponctuel avec un partenaire, ACL public-read, Block Public Access désactivé au niveau du compte.

Cause racine

Configuration manuelle hors IaC, garde-fou « Block Public Access » désactivé, absence de revue et de détection continue.

Diagnostic

Confirmer l'exposition et la périmétrer (objets, période).
Journaux d'accès S3 / CloudTrail data events : qui a téléchargé quoi ?
Classer les données (personnelles ? RGPD → notification sous 72 h si risque).

Solution

Immédiat : activer Block Public Access sur le bucket et le compte, retirer ACL et politique publiques.
Partage partenaire via URL présignées à durée limitée ou accès cross-compte.
Traitement de l'incident de données avec le DPO.

Commandes

aws s3api put-public-access-block --bucket exports-partenaire \
  --public-access-block-configuration BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true
aws s3control put-public-access-block --account-id <id> --public-access-block-configuration BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

Prévention

Block Public Access imposé par SCP, ressources créées uniquement par IaC, CSPM avec alerte temps réel, chiffrement et classification des données.