Retour d'expérience CyberSecure Canada : 5 leçons TGV

En bref : Ce retour d’expérience CyberSecure Canada raconte les quatre premiers mois de maintien du certificat CAN/DGSI 104 obtenu par Factero le 19 avril 2026, valide jusqu’au 19 avril 2027 et vérifiable dans IAF CertSearch. Un certificat se maintient entre deux audits, pas le jour où on l’obtient. Voici ce que cette expérience nous enseigne, appliquée à une démarche de certification TGV.

Dans cet article

Pourquoi partager ce retour d’expérience CyberSecure Canada ?

Le 19 avril 2026, nous annoncions l’obtention du certificat CyberSecure Canada (CAN/DGSI 104) niveau 1. Ce jour-là, on écrit l’annonce, on partage le sceau, on passe à autre chose. C’est le jour le plus facile à raconter.

Ce qui suit l’est moins. Revenir sur ces semaines, avec un peu de recul, sert un objectif précis : vérifier que ce que nous recommandons à nos clients pour leur démarche TGV, nous l’avons appliqué chez nous en premier. Un cabinet qui parle de gouvernance documentaire sans en tenir la sienne à jour parle par théorie.

Ce retour d’expérience CyberSecure Canada n’est pas un exercice d’image. C’est un compte rendu, avec ce qui a bien fonctionné et ce qui aurait dû être fait différemment. Les dirigeants qui nous consultent pour une démarche TGV posent souvent la même question, sous une forme ou une autre : concrètement, à quoi ça ressemble, une fois le dossier déposé ? Voici notre réponse, tirée de notre propre expérience plutôt que d’un manuel.

Qu’est-ce que le certificat CyberSecure Canada garantit exactement ?

CyberSecure Canada, ou CyberSécuritaire Canada en français, est un programme fédéral de certification en cybersécurité destiné aux petites et moyennes organisations canadiennes. Il certifie qu’une organisation applique les contrôles de base d’une norme technique publiée par le Digital Governance Standards Institute : la norme CAN/DGSI 104.

Le certificat que nous détenons est de niveau 1. Il couvre cinq contrôles de base :

Gestion des accès, pour limiter qui peut voir et modifier quoi.
Protection des appareils, postes et mobiles à jour.
Sauvegardes, testées, pas seulement programmées.
Formation des employés, sur les gestes qui évitent l’essentiel des incidents.
Plan de réponse aux incidents, pour savoir qui fait quoi dans les premières heures.

Rien d’exotique, mais rien d’accessoire non plus. Ce sont les contrôles dont l’absence explique la majorité des incidents chez les PME.

Le certificat est valide jusqu’au 19 avril 2027. N’importe qui peut le vérifier dans le registre IAF CertSearch, l’outil de vérification internationale des certificats délivrés par des organismes accrédités. Nous revenons plus loin sur cette vérifiabilité, parce qu’elle fait partie de la leçon, pas seulement de la formalité.

Ce que le certificat ne garantit pas mérite d’être dit aussi clairement. CyberSecure Canada n’est pas une certification internationale comme ISO 27001, et il ne remplace aucune exigence sectorielle spécifique, dont la certification TGV pour le réseau de la santé du Québec. Les deux démarches répondent à des logiques distinctes, même si la discipline qu’elles demandent se ressemble.

Le tableau suivant résume, d’un coup d’œil, ce qui distingue les deux démarches :

	CyberSecure Canada (CAN/DGSI 104)	Certification TGV
Portée	L’ensemble de l’organisation	Un produit numérique destiné au réseau de la santé
Référentiel	Contrôles de base de niveau 1	Grille propre au Québec, 382 critères en 7 familles
Autorité	Programme fédéral	Bureau de certification du réseau de la santé du Québec

Qu’est-ce qui est le plus exigeant pour maintenir sa certification cybersécurité ?

Ce retour d’expérience CyberSecure Canada retient trois choses qui ont le plus pesé sur le maintien du certificat, dans l’ordre où elles se sont présentées.

La première, c’est la tentation de considérer le dossier clos. Le réflexe naturel, une fois le certificat en main, est de ranger les politiques et de revenir aux urgences du quotidien. Un certificat de niveau 1 s’appuie sur des contrôles qui doivent rester vrais tous les jours, pas seulement le jour de la vérification. Une politique d’accès qui n’est plus appliquée trois semaines après l’audit n’a jamais vraiment été appliquée.

La deuxième, c’est la discipline de la mise à jour. Un poste ajouté, un fournisseur infonuagique changé, un nouvel employé : chacun de ces événements ordinaires peut faire dévier un contrôle de base sans que personne ne s’en aperçoive sur le coup. Le maintien exige un point de contrôle récurrent, pas seulement une revue annuelle.

La troisième, c’est la cohérence entre ce qu’on dit et ce qu’on fait. Un cabinet qui recommande à ses clients de documenter leurs incidents doit documenter les siens. Ce n’est pas un exercice théorique : c’est la première chose qu’un client averti vérifie avant de signer.

Que referions-nous autrement ?

Deux choses, honnêtement.

Nous aurions attribué plus tôt un propriétaire clair à chaque contrôle. Dans une petite structure, la tentation est de traiter la conformité comme une responsabilité partagée, ce qui revient souvent à dire qu’elle n’appartient à personne en particulier. Un contrôle sans propriétaire nommé finit par glisser.

Nous aurions aussi documenté nos preuves au fil de l’eau plutôt qu’en rattrapage avant l’audit. Notre démarche de certification CyberSecure Canada, entamée en avril, avait déjà montré ce risque : reconstituer des preuves après coup coûte plus cher, en temps et en fiabilité, que de les capturer au moment où l’action a lieu.

Quelles leçons se transposent à une démarche de certification TGV ?

Ce retour d’expérience CyberSecure Canada dégage cinq leçons qui se transposent directement à une démarche de certification TGV, même si la logique de maintien des deux n’est pas identique. La TGV vise un produit destiné au réseau de la santé du Québec, pas l’ensemble d’une organisation, et sa grille compte 382 critères en 7 familles. Mais la mécanique de fond se ressemble. Voici ces cinq leçons, dans l’ordre où elles s’appliquent à une démarche.

La préparation est un projet avec un propriétaire, pas une tâche déléguée à la dernière équipe disponible. La démarche se pilote, elle ne se subit pas.
Les écarts trouvés tôt coûtent moins cher que les écarts trouvés en vérification. Un premier passage honnête de la grille vaut plus qu’une relecture optimiste.
La documentation vit après la certification, pas seulement pendant. Pour la TGV, le test d’intrusion est un prérequis à l’obtention de la certification pour tout produit ou service technologique utilisant des données personnelles, de santé et de services sociaux, et le maintien de la certification exige au moins un test d’intrusion par année auprès d’une firme indépendante, en plus des pratiques de protection des renseignements personnels imposées par la Loi 25.
La gouvernance n’est pas un exercice technique. Une bonne partie des critères, dans les deux démarches, porte sur des politiques et des processus, pas sur du code.
La vérifiabilité compte autant que la conformité elle-même. Un certificat que personne ne peut confirmer indépendamment perd une bonne partie de sa valeur auprès d’un acheteur prudent.

Cette exigence de vérification externe n’est pas un détail de processus. L’orientation du Bureau de certification et d’homologation (BCH) sur les tests d’intrusion précise que le prestataire retenu doit avoir des représentants légalement autorisés au Canada, du personnel certifié en tests d’intrusion, des preuves d’antécédents criminels pour ce personnel, répondre des résultats, y compris ceux de ses sous-traitants, fournir le rapport en français sans frais pour le BCH, et tester en production ou en environnement équivalent. Le mode boîte blanche est accepté dans tous les cas.

L’attestation de certification, le formulaire BC-D0001-01, fixe ensuite le rythme du maintien : au moins un test d’intrusion par année, une autodéclaration soumise au moins 15 jours avant la date d’anniversaire de la certification, des vulnérabilités corrigées suivant une échéance convenue avec le Bureau de certification, un plan de mitigation déposé dans les trois jours ouvrables pour toute vulnérabilité critique, et un exercice de relève informatique tous les deux ans dans un centre distinct. La certification elle-même est valide cinq ans, avec reconduction tacite d’un an à chaque acceptation de l’autodéclaration. C’est exactement le type d’obligation récurrente que notre propre maintien de certificat nous a appris à ne jamais remettre à plus tard.

Nous détaillons les cinq étapes propres à la démarche TGV, du dépôt du dossier à la décision du Bureau de certification, dans Certification TGV : les 5 étapes, du dépôt à la décision. Les fondamentaux de la certification elle-même sont dans notre guide C’est quoi la TGV ? Le guide pour la santé numérique.

Ce parallèle a une limite qu’il faut nommer. Le maintien d’un certificat CyberSecure Canada touche l’ensemble d’une petite structure. Le maintien d’une certification TGV touche un produit précis, souvent développé par une équipe plus large, avec des cycles de mise à jour plus fréquents. L’ampleur diffère, la logique de fond, elle, tient.

Que change le fait de vivre une certification de l’intérieur, pour un cabinet-conseil ?

Le cordonnier le mieux placé pour vendre des chaussures est rarement celui qui marche pieds nus. Un cabinet qui accompagne des fournisseurs technologiques dans une démarche de certification TGV, sans avoir lui-même vécu l’exercice d’une certification, parle par théorie. Ce n’est pas disqualifiant en soi, mais ça se voit dans le détail des questions posées.

Vivre notre propre certification nous a montré, de l’intérieur, où les dirigeants butent réellement. Pas sur la compréhension des exigences, la plupart du temps assez claires sur papier, mais sur l’arbitrage entre les urgences du jour et une discipline qui ne rapporte rien tant qu’elle n’a pas servi. Ce n’est pas une question de compétence technique. C’est une question de vécu : on ne raconte pas de la même façon un obstacle qu’on a contourné soi-même et un obstacle qu’on a seulement lu dans le rapport d’un tiers.

C’est exactement l’arbitrage que vivent nos clients en démarche TGV, à une autre échelle et sur une grille différente. Nous n’avons pas eu à l’imaginer. Notre démarche vers la révision Rev 2 de la norme CAN/DGSI 104, suivie en parallèle, nous rappelle d’ailleurs qu’un référentiel de conformité n’est jamais figé : la grille TGV a elle-même changé depuis notre premier guide sur le sujet.

Comment vérifier qu’un certificat de cybersécurité est authentique ?

On vérifie l’authenticité d’un certificat de cybersécurité dans un registre indépendant, comme IAF CertSearch pour CyberSecure Canada. C’est une question que peu de dirigeants pensent à poser, et elle devrait l’être plus souvent, dans les deux sens.

Un fournisseur qui affirme détenir une certification devrait pouvoir la faire vérifier de manière indépendante, sans se contenter d’un logo sur un site web. Pour CyberSecure Canada, le registre IAF CertSearch permet de confirmer la validité d’un certificat, son niveau et sa date d’expiration. Le nôtre y figure jusqu’au 19 avril 2027.

Pour un cabinet-conseil, la vérifiabilité vaut aussi dans l’autre sens. Aucun consultant, aucune firme de vérification ne peut garantir l’issue d’une démarche de certification, TGV ou CyberSecure Canada. C’est une obligation de moyens, pas une obligation de résultat. Quiconque promet le contraire vous dit surtout quelque chose sur sa rigueur.

Pour un acheteur du réseau de la santé, cette vérifiabilité n’est pas un détail administratif. Un établissement qui approuve un fournisseur sur la base d’une certification TGV doit pouvoir s’y fier sans repasser derrière le Bureau de certification à chaque renouvellement de contrat. C’est tout le sens d’une certification centralisée plutôt qu’une évaluation refaite établissement par établissement.

Si votre produit est visé par une démarche TGV et que vous cherchez un cabinet capable d’en parler avec l’expérience du terrain, pas seulement celle des textes, vous pouvez planifier un appel exploratoire sur votre certification TGV avec Factero. Trente minutes suffisent pour situer votre écart et vos options.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

Foire aux questions

Combien de temps le certificat CyberSecure Canada de Factero reste-t-il valide ?

Notre certificat, obtenu le 19 avril 2026, est valide jusqu’au 19 avril 2027. La date d’expiration exacte d’un certificat CyberSecure Canada dépend de l’organisme qui l’a délivré : elle se vérifie directement dans le registre IAF CertSearch, pas dans une brochure commerciale ou une date annoncée de mémoire par le fournisseur.

Le maintien d’une certification coûte-t-il aussi cher que son obtention la première année ?

Non, mais ce n’est pas gratuit pour autant. La première année absorbe l’essentiel de l’effort : mise en place des contrôles, rédaction des politiques, collecte des premières preuves. Les années suivantes demandent un effort continu, plus léger à un moment donné, mais qui ne disparaît jamais complètement. C’est justement l’effort que plusieurs organisations sous-estiment au moment de signer.

CyberSecure Canada exige-t-il un test d’intrusion, comme la certification TGV ?

Non. Le niveau 1 de CyberSecure Canada couvre cinq contrôles de base : gestion des accès, protection des appareils, sauvegardes, formation des employés et plan de réponse aux incidents, sans test d’intrusion obligatoire. C’est la certification TGV qui l’exige, comme prérequis à l’obtention puis à raison d’au moins un test par année, réalisé par un prestataire indépendant, pour la maintenir.

Est-ce une exigence formelle qu’un cabinet-conseil accompagnant une démarche TGV soit lui-même certifié ?

Non, aucune règle ne l’impose. Mais un cabinet qui a vécu sa propre démarche de certification, CyberSecure Canada ou autre, pose des questions différentes, et plus précises, que celui qui n’a lu que la documentation. La différence se voit dans le détail des questions posées pendant l’accompagnement, pas sur un certificat affiché sur un site web.

Que risque une entreprise qui ne renouvelle pas sa certification TGV à temps ?

Le non-renouvellement expose à la publication d’une non-conformité sur le site du Bureau de certification, à une vérification ciblée, voire à une réévaluation ou un retrait pur et simple de la certification. L’autodéclaration annuelle doit être soumise au moins 15 jours avant la date anniversaire de la certification pour éviter ce risque, engagement prévu à l’attestation de certification elle-même.

Retour d’expérience CyberSecure Canada : les leçons pour la TGV

Besoin d’aide sur ce sujet ?