Analyse PII/PHI

​

Aperçu

• Fonctionnement : l’analyse PII/PHI détecte automatiquement les informations personnelles identifiables (PII) et les informations de santé protégées (PHI) dans votre code. Elle examine le code source, les fichiers de configuration et la documentation à la recherche de données sensibles telles que les numéros de carte bancaire ou de sécurité sociale, les adresses e-mail, les dossiers médicaux et d’autres informations personnelles susceptibles de présenter des risques pour la confidentialité et la conformité.
• Public concerné : cette fonctionnalité s’adresse aux équipes de sécurité, aux responsables de la conformité, aux développeurs et aux organisations qui traitent des données personnelles sensibles. Elle est particulièrement utile aux établissements de santé, aux institutions financières, aux plateformes e-commerce et à toute entreprise soumise au RGPD, à HIPAA, à CCPA ou à PCI DSS.

​

Principales fonctionnalités et avantages

• Détection complète des données : identifie plus de 50 types d’informations sensibles, notamment :
  • Identifiants personnels (SSN, numéros de passeport, permis de conduire)
  • Données financières (numéros de cartes de crédit, numéros de compte bancaire, IBAN)
  • Informations de contact (adresses e-mail, numéros de téléphone, adresses)
  • Informations médicales (identifiants patients, numéros de dossier médical, codes de diagnostic)
  • Identifiants gouvernementaux (identifiants fiscaux, identifiants nationaux, badges militaires)
  • Données biométriques (empreintes digitales, données de reconnaissance faciale)
  • Identifiants d’authentification (mots de passe, clés d’API, tokens)
• Prise en charge de nombreux langages : scanne le code et les fichiers texte dans un large éventail de langages et de types de fichiers.
• Détection des faux positifs : après la détection des PII dans le code, notre système de détection des faux positifs optimisé par l’IA analyse les résultats afin de réduire les signalements erronés.

​

Comment y accéder

​

Prérequis

• Le projet doit contenir des fichiers de code source à scanner
• Vous devez disposer des autorisations nécessaires pour lancer des scans de sécurité
• Vous devez avoir accès au service de scan

​

Guide d’utilisation

​

Principaux workflows

1. Scan automatique : scanne automatiquement les nouveaux commits et les pull requests
2. Scan manuel : lance à la demande des scans de fichiers ou répertoires précis
3. Traitement par lots : scanne l’intégralité du code pour réaliser des audits complets de confidentialité
4. Surveillance continue : planifie des scans pour détecter les nouvelles données sensibles dès leur ajout
5. Suivi des problèmes : crée et suit automatiquement les tâches de remédiation des problèmes détectés

​

Types de données pris en charge

• Identifiants personnels : SSN, numéros de passeport ou de permis de conduire, identifiants nationaux
• Informations financières : numéros de carte bancaire et de compte, numéros de routage, IBAN
• Coordonnées : adresses e-mail, numéros de téléphone, adresses postales
• Données médicales : ID de patients, numéros de dossier médical, codes de diagnostic, données de prescription
• Identifiants administratifs : identifiants fiscaux ou militaires, matricules d’agents publics
• Authentification : mots de passe, clés d’API, tokens d’accès, clés privées
• Données biométriques : empreintes digitales, données de reconnaissance faciale, empreintes vocales
• Données de localisation : coordonnées GPS, identifiants d’appareils

​

Exemple multi-projets

Healthcare Application:
├── patient-portal/
│   ├── src/
│   │   ├── patient-data.js      ✓ Patient records
│   │   ├── billing-api.py       ✓ Payment information
│   │   └── auth-service.go      ✓ Authentication tokens
│   ├── config/
│   │   └── database.yml         ✓ Connection strings
│   └── docs/
│       └── api-spec.md          ✓ API documentation
├── admin-dashboard/
│   └── src/
│       └── user-management.js   ✓ Admin credentials
└── mobile-app/
    └── src/
        └── location-service.js  ✓ GPS coordinates

​

Classification par sévérité

• Critique : données très sensibles (SSN, cartes bancaires, dossiers médicaux) exposées dans le code de production
• Élevée : identifiants personnels ou données financières dans les environnements de développement ou de test
• Moyenne : coordonnées ou données de localisation pouvant être agrégées
• Faible : informations publiques ou données correctement anonymisées

​

Exemples

​

Exemple 1 : Détection de carte de crédit

// ❌ High Risk - Credit card number in code
const paymentData = {
  cardNumber: "4111-1111-1111-1111",
  expiryDate: "12/25",
  cvv: "123"
};

// ✅ Safe - Masked or tokenized data
const paymentData = {
  cardToken: "tok_1234567890",
  lastFour: "1111"
};

​

Exemple 2 : Gestion des adresses e-mail

# ❌ Medium Risk - Email in configuration
DATABASE_CONFIG = {
    "host": "db.example.com",
    "user": "admin@company.com",
    "password": "secret123"
}

# ✅ Safe - Environment variables
DATABASE_CONFIG = {
    "host": os.getenv("DB_HOST"),
    "user": os.getenv("DB_USER"),
    "password": os.getenv("DB_PASSWORD")
}

​

Exemple 3 : Protection des données médicales

// ❌ Critical Risk - Patient data in code
public class PatientRecord {
    private String patientId = "P12345";
    private String diagnosis = "Diabetes Type 2";
    private String ssn = "123-45-6789";
}

// ✅ Safe - Proper data handling
public class PatientRecord {
    private String patientToken = generateSecureToken();
    private String diagnosisCode = "E11.9"; // ICD-10 code
    private String maskedSsn = "***-**-6789";
}

​

Ressources supplémentaires

• Réglementations sur la confidentialité : RGPD, HIPAA, CCPA, PCI DSS
• Recommandations de développement sécurisé : pratiques de développement sécurisé de l’OWASP
• Protection des données : Privacy Framework du NIST