En bref : Les critères sécurité TGV forment la plus grande des sept familles de la grille, avec 112 des 382 critères, soit 29 % du total. Cette famille couvre la gestion des accès, le chiffrement, la surveillance et la réponse aux incidents, et sa conformité passe par un test d’intrusion externe obligatoire, pas seulement par de la documentation.
Si vous pilotez la sécurité ou la technologie d’une entreprise qui vise le réseau de la santé québécois, cette famille est probablement celle qui va vous occuper le plus longtemps. Ce n’est pas un hasard. La TGV (Trousse globale de vérification) est la grille de certification du ministère de la Santé et des Services sociaux (MSSS) pour les produits et services technologiques destinés au réseau, administrée par le Bureau de certification de Santé Québec. Depuis sa nouvelle version publiée le 24 avril 2026, elle compte 382 critères répartis en sept familles, et la Sécurité en forme presque le tiers.
Ce texte ouvre une série consacrée famille par famille. Il s’adresse à qui structure sa préparation méthodiquement, pas à qui cherche un résumé de deux lignes.
Dans cet article
Pourquoi les critères sécurité TGV pèsent-ils autant dans la grille ?
Les critères sécurité TGV totalisent 112 des 382 critères de la grille, soit 29 % du total. Faites le calcul : presque un critère sur trois de la grille appartient à cette seule famille. Voici comment elle se situe par rapport aux six autres.
| Famille | Nombre de critères | Part de la grille |
|---|---|---|
| Sécurité | 112 | 29 % |
| Protection des renseignements personnels | 108 | 28 % |
| Intelligence artificielle | 69 | 18 % |
| Interopérabilité | 58 | 15 % |
| Technique | 26 | 7 % |
| Performance | 7 | 2 % |
| Gouvernance | 2 | 1 % |
À elles deux, Sécurité et Protection des renseignements personnels totalisent plus de la moitié des 382 critères. Ce n’est pas étonnant : le réseau de la santé traite des dossiers de patients, la donnée la plus sensible qui existe, et la grille reflète ce risque dans sa pondération. Une entreprise qui bâcle la sécurité pour se concentrer sur l’interopérabilité ou la performance attaque la grille par le mauvais bout.
Un chiffre ne dit toutefois pas tout du travail réel. Un produit hébergé chez un fournisseur infonuagique sérieux, avec des contrôles d’accès et un chiffrement déjà en place, part avec une longueur d’avance sur une partie de ces 112 critères. Le travail consiste alors à documenter et démontrer l’existant, pas à le construire de zéro.
L’inverse existe aussi. Un produit développé rapidement, sans équipe sécurité dédiée, avec des accès administrateurs partagés entre trois personnes et aucun registre d’incidents, découvre souvent l’ampleur réelle de cette famille au moment où il en fait l’inventaire honnête. Ce n’est pas une raison de paniquer, c’est une raison de commencer tôt.
Quels grands thèmes couvre la famille sécurité de la TGV ?
La famille Sécurité regroupe six grands thèmes qui reviennent dans à peu près tous les référentiels de sécurité de l’information, sous des formes différentes :
- Gestion des accès : qui peut voir quoi, comment on révoque un accès quand un employé quitte, comment on limite les privilèges administratifs.
- Chiffrement : au repos et en transit, des données de santé que le produit traite ou stocke.
- Journalisation et surveillance : montrer qui a fait quoi dans le produit, et détecter une anomalie plutôt que la découvrir six mois plus tard.
- Gestion des incidents : un plan écrit, savoir qui prévenir et dans quels délais, ne pas improviser le jour où quelque chose casse.
- Gestion des vulnérabilités : la mise à jour des composants et le traitement des failles connues.
- Sensibilisation du personnel : un thème souvent associé à tort uniquement à la protection des renseignements personnels, alors qu’il est structurant pour la sécurité au sens large.
Aucun de ces thèmes n’est isolé des autres familles. Un critère sur le chiffrement d’un renseignement de santé recoupe forcément la famille Protection des renseignements personnels. C’est une des raisons pour lesquelles préparer la famille Sécurité en vase clos, sans regarder les 108 critères voisins, mène souvent à du travail refait deux fois.
Comment les critères sécurité TGV recoupent-ils ISO 27001 et SOC 2 ?
C’est la bonne nouvelle de cette famille : elle n’est pas propre au Québec dans son contenu, même si elle l’est dans sa forme. La plupart de ses thèmes existent déjà, sous d’autres numéros, dans les référentiels de sécurité que beaucoup de fournisseurs détiennent déjà.
Prenez un exemple concret. Le critère TGV S04.02, qui porte sur la sensibilisation du personnel à la sécurité, recoupe le contrôle A.6.3 de la norme ISO 27001 (formation et sensibilisation à la sécurité de l’information). Il recoupe aussi le critère CC2.2 des critères communs SOC 2, et, quand votre produit intègre de l’intelligence artificielle, la clause 7.3 de la norme ISO 42001 sur la sensibilisation liée aux systèmes d’IA. Un seul critère TGV, trois points d’ancrage dans des référentiels que vous connaissez peut-être déjà.
Le tableau suivant résume ces recoupements, tels qu’observés dans notre cartographie interne, construite critère par critère au fil de nos mandats.
| Référentiel | Ce que notre cartographie interne observe |
|---|---|
| ISO 27001 | Recoupements sur les contrôles d’accès, la sensibilisation (ex. A.6.3) et la gestion des incidents |
| SOC 2 | Recoupements sur plusieurs critères communs, dont la sensibilisation (CC2.2) |
| ISO 42001 | Recoupements ponctuels, notamment sur la sensibilisation à l’IA (7.3), quand le produit en intègre |
Nous publierons éventuellement cette cartographie sous une forme plus complète et plus chiffrée. En attendant, retenez le principe plutôt que des totaux : si vous détenez déjà une certification ISO 27001 ou un rapport SOC 2, une partie réelle de vos preuves existe déjà, elle a seulement besoin d’être reformatée pour répondre au critère TGV précis qu’on vous demande.
Ce recoupement n’est pas un raccourci automatique, et il ne dispense d’aucune démarche. Nous consacrons des articles distincts et plus détaillés à ces deux comparaisons, dans SOC 2 et TGV et dans ISO 27001 et TGV, si vous voulez pousser l’exercice référentiel par référentiel.
Comment se déroule la vérification externe pour cette famille ?
Les critères sécurité TGV sont les seuls, parmi les sept familles, dont la vérification externe inclut un test d’intrusion obligatoire, pas seulement une revue documentaire. Le processus de certification TGV exige que ce test soit réalisé par une firme choisie dans un bassin restreint reconnu par le Bureau de certification, pas par n’importe quel prestataire de votre choix.
Concrètement, cela veut dire que vos politiques et vos preuves écrites ne suffisent pas pour cette famille. Un vérificateur externe va chercher activement des failles dans votre produit. Les critères que vous aviez cochés « conforme » sur papier doivent tenir devant une tentative réelle de compromission, pas seulement devant une relecture de document.
C’est une raison de plus pour ne pas traiter la famille Sécurité comme un exercice de paperasse confié à une seule personne en fin de projet. Les correctifs découverts après un test d’intrusion coûtent presque toujours plus cher, en temps et en argent, que les mêmes correctifs anticipés en amont. Nous détaillons ce processus, ses délais et ce qu’un test d’intrusion regarde concrètement dans Vérification externe TGV : se préparer au test d’intrusion.
Un dernier détail change la façon de planifier. Le test d’intrusion ne se réserve pas la veille du dépôt : il se planifie, il se documente, et son résultat peut exiger un cycle de correction avant que le dossier soit complet. Une entreprise qui traite cette étape comme une formalité de dernière minute finit presque toujours par retarder l’ensemble de sa démarche de certification, pas seulement la famille Sécurité.
Par où commencer votre préparation ?
Trois gestes, dans l’ordre, avant même d’ouvrir un tableur de suivi de conformité.
- Faites l’inventaire de vos certifications et attestations existantes (ISO 27001, SOC 2, ou autre) et notez, critère par critère de la famille Sécurité, ce qu’elles couvrent déjà. C’est le socle sur lequel vous bâtissez, pas un point de départ à ignorer.
- Identifiez les écarts réels sur les thèmes qui reviennent le plus souvent : accès, chiffrement, journalisation, gestion des incidents, sensibilisation. Un écart trouvé maintenant coûte moins cher qu’un écart découvert pendant le test d’intrusion.
- Planifiez le test d’intrusion tôt dans votre calendrier, pas à la toute fin. Le bassin de firmes reconnues n’est pas illimité, et un dossier prêt qui attend un créneau de vérification perd un temps qu’on ne récupère pas.
Si vous préparez plusieurs familles en parallèle, notre article Par où commencer la TGV : l’autoévaluation en 7 familles vous donne la vue d’ensemble avant de plonger famille par famille.
Si vous voulez objectiver précisément où vous en êtes sur les critères sécurité TGV, sans attendre le test d’intrusion pour le découvrir, une analyse d’écarts Factero centrée sur la posture sécurité donne un point de départ chiffré et concret. Nous structurons, nous cartographions, vous décidez de la suite.
Pour aller plus loin avec Factero :
- préparation à la certification TGV
- accompagnement à la certification ISO 27001
- accompagnement à la préparation SOC 2
Foire aux questions
Combien de temps la certification TGV reste-t-elle valide ?
Cinq ans, avec reconduction tacite d’un an à chaque anniversaire, à condition que le fournisseur respecte ses engagements et que le Bureau de certification accepte son autodéclaration. Cette autodéclaration, accompagnée des résultats du dernier test d’intrusion, doit être soumise au moins 15 jours avant la date anniversaire. Un manquement peut mener à une vérification ciblée, une réévaluation ou, dans les cas les plus sérieux, au retrait de la certification.
Le test d’intrusion exigé pour la famille Sécurité doit-il être repris chaque année ?
Oui. Ce n’est pas un exercice unique réalisé au moment du dépôt : le fournisseur certifié doit faire réaliser au moins un test d’intrusion par année, par une firme indépendante reconnue, et transmettre les résultats au Bureau de certification avec son autodéclaration annuelle. Une entreprise qui budgète ce test comme une dépense ponctuelle plutôt que récurrente se trompe sur l’ampleur réelle de l’engagement.
Un test d’intrusion en boîte noire est-il accepté pour la certification TGV ?
Non, pas pour cette famille. Le Bureau de certification exige la boîte blanche, où le prestataire a accès au code et à la documentation technique, acceptée dans tous les cas. La boîte grise n’est admise que pour certains produits non sensibles et sans déploiement provincial. Le test doit se dérouler en production ou en environnement équivalent, selon des standards reconnus comme OWASP, OSSTMM ou NIST.
Que doit faire le fournisseur si le test d’intrusion révèle une vulnérabilité critique ?
Il doit en informer le Bureau de certification dès qu’il en a connaissance, sans attendre l’autodéclaration, puis déposer un plan de mitigation dans les trois jours ouvrables. Un problème majeur sans être critique suit le même délai de trois jours pour un plan de correction. Les autres vulnérabilités se corrigent selon une échéance convenue directement avec le Bureau, pas selon un délai fixe.
Qui paie le test d’intrusion et les autres coûts liés à la famille Sécurité ?
Le fournisseur, pas le réseau de la santé. Santé Québec indique que les coûts liés à la certification, incluant la préparation et la vérification, sont à la charge du candidat. Pour la famille Sécurité, cela couvre notamment les honoraires de la firme de test d’intrusion retenue, une dépense à prévoir chaque année dans le calendrier de certification, pas seulement au dépôt initial.
