En bref : Les équivalences strictes TGV désignent le niveau de correspondance le plus élevé entre un critère de la grille et une exigence d’un autre référentiel : la preuve produite ailleurs le couvre intégralement, sans complément. Sur les 1302 correspondances entre la TGV et 13 référentiels, 72 atteignent ce niveau, soit 5,5 %. ISO 27001 en couvre 36 à elle seule.
Si vous êtes RSSI, responsable de la sécurité de l’information, et que vous jonglez déjà avec ISO 27001, SOC 2 ou un autre référentiel, la question n’est pas si vos certifications comptent pour la TGV, la grille de vérification du ministère de la Santé et des Services sociaux du Québec. Elles comptent presque toutes, au moins partiellement. La vraie question est laquelle compte vraiment, critère par critère, sans retravail. Ce texte répond en détaillant les équivalences strictes TGV, une par une.
Dans cet article
Qu’est-ce qu’une équivalence stricte TGV, exactement ?
Une équivalence stricte est le niveau de correspondance le plus élevé des trois catégories du dépôt : la preuve produite pour un autre référentiel couvre le critère TGV dans son entièreté, sans ajout ni complément. La méthodologie derrière les 1302 correspondances distingue ces trois niveaux, du plus faible au plus fort : la correspondance simple, le recoupement partiel et l’équivalence stricte. Nous détaillons cette hiérarchie dans Correspondance, recoupement, équivalence stricte : la méthode derrière les 1302.
Une correspondance simple signale un lien thématique entre deux exigences, sans plus. Un recoupement partiel signifie qu’une partie de la preuve existante sert, mais qu’il manque un complément pour satisfaire pleinement le critère TGV visé.
C’est la catégorie la plus rare, et c’est normal. La grille TGV (Trousse globale de vérification), avec ses 382 critères répartis en 7 familles, a été bâtie pour le contexte précis du réseau de la santé québécois, Loi 25 comprise. Un référentiel généraliste, même reconnu internationalement, ne recoupe qu’une fraction de ces exigences point par point.
Comment les 72 équivalences strictes TGV ont-elles été calculées ?
Le calcul vient directement du dépôt Correspondances TGV, publié en données ouvertes sous licence CC BY 4.0 (Creative Commons Attribution). Nous en présentons la genèse dans Publication du dépôt git Correspondances TGV : 1302 correspondances en données ouvertes.
Chaque ligne du dépôt porte une étiquette de niveau. Isoler les lignes étiquetées « équivalence stricte », les compter et diviser par les 1302 correspondances totales donne le taux de 5,5 %. C’est un chiffre bas, et c’est le point : la vaste majorité du travail de certification TGV ne se transpose pas automatiquement d’un référentiel à l’autre, peu importe le nombre de certifications déjà en main.
Pourquoi ISO 27001 concentre-t-elle la moitié des équivalences strictes TGV ?
ISO/IEC 27001:2022 totalise 135 correspondances avec la grille TGV, dont 36 équivalences strictes, un taux de conversion de 26,7 % propre à ce référentiel, nettement au-dessus de la moyenne de 5,5 % toutes correspondances confondues. Le détail complet est dans ISO 27001 et TGV : 135 correspondances, 36 équivalences strictes.
Deux raisons expliquent cette concentration. ISO 27001 encadre un système de gestion de la sécurité de l’information dans son ensemble, avec des contrôles documentés, audités et renouvelés annuellement, exactement le type de preuve que la famille Sécurité de la TGV, 112 critères à elle seule, et une partie de la famille Technique demandent. Et la certification ISO 27001 est vérifiée par un tiers accrédité, au même titre que la vérification externe TGV : deux processus qui produisent un niveau de preuve comparable, pas seulement un thème comparable.
Faut-il obtenir ISO 27001 seulement pour ces 36 équivalences ?
Non, et le calcul le montre. Trente-six critères sur 382, c’est 9,4 % de la grille. Une certification ISO 27001 complète, avec son système de gestion documenté, ses audits annuels et son coût récurrent, pour couvrir moins d’un dixième de la grille TGV, c’est un mauvais calcul si c’est la seule motivation.
Chercher une certification uniquement pour ses équivalences TGV, c’est acheter un camion pour transporter une boîte : l’outil fonctionne, mais il coûte largement plus que ce qu’il sert à déplacer. Les entreprises qui tirent le meilleur parti des équivalences strictes TGV sont celles qui possédaient déjà ISO 27001, SOC 2 ou un autre référentiel du dépôt pour des raisons indépendantes de la TGV, contractuelles, commerciales ou réglementaires, et qui découvrent ensuite que ce travail sert deux fois.
Quelle est la répartition par référentiel ?
Le tableau ci-dessous situe les référentiels couverts par le dépôt les uns par rapport aux autres. ISO/IEC 27001 est à ce jour le seul référentiel dont la répartition complète en équivalences strictes est confirmée ; celle des douze autres reste à publier référentiel par référentiel.
| Référentiel | Correspondances totales | Équivalences strictes |
|---|---|---|
| ISO/IEC 27001:2022 | 135 | 36 (confirmées) |
| SOC 2 | à confirmer | à détailler |
| BSI C5 | à confirmer | à détailler |
| HITRUST | à confirmer | à détailler |
| NIS2 | à confirmer | à détailler |
| CCB CyberFundamentals | à confirmer | à détailler |
| 7 autres référentiels du dépôt | à confirmer | à détailler |
| Total (13 référentiels) | 1302 | 72 |
Les 36 équivalences strictes qui ne viennent pas d’ISO 27001 se répartissent quelque part parmi ces douze référentiels. Nous publierons leur détail à mesure que chaque comparatif référentiel par référentiel paraît : mieux vaut un chiffre confirmé plus tard qu’un chiffre approximatif tout de suite. Le dépôt lui-même reste la seule source à consulter si vous avez besoin du détail avant nos prochaines publications.
Une équivalence stricte TGV, ça dispense de quoi exactement ?
Ça dispense de reconstruire la preuve pour ce critère précis. Ça ne dispense de rien d’autre.
Trois nuances à garder en tête, parce que c’est là que les dossiers dérapent.
- Le périmètre doit correspondre : une certification ISO 27001 qui couvre le siège social mais pas l’environnement infonuagique où tourne réellement le produit ne vaut rien pour les critères visés par cette équivalence. Le Bureau de certification vérifie le périmètre, pas seulement le certificat.
- Le certificat doit être valide au moment du dépôt : une équivalence stricte s’appuie sur une certification en vigueur, pas sur un audit expiré en attente de renouvellement.
- Soixante-douze critères sur 382 restent une minorité : même avec les 36 équivalences ISO 27001 en poche, il reste l’essentiel de la grille à documenter. Une certification existante raccourcit le chemin, elle ne le remplace pas.
Personne ne peut garantir la certification TGV sur la base d’un dossier de certifications tierces, aussi solide soit-il : c’est une obligation de moyens pour le Bureau de certification, pas une obligation de résultat.
Comment un RSSI multi-certifié utilise-t-il ce chiffre ?
Concrètement, en trois étapes.
- Identifier, parmi vos certifications déjà en main, celles qui figurent dans le dépôt et compter les équivalences strictes qui vous concernent. Pour ISO 27001, ce sont 36 critères TGV que vous pouvez marquer couverts avec le rapport d’audit existant comme preuve.
- Vérifier que le périmètre de chaque certification couvre bien le produit visé par la démarche TGV, et pas seulement l’organisation en général.
- Concentrer l’effort de préparation sur les critères qui ne bénéficient d’aucune équivalence stricte, soit la grande majorité de la grille. C’est là que se joue le calendrier réel de votre dossier.
Un RSSI qui aborde la TGV avec cette liste en main gagne du temps sur les 72 critères concernés et, surtout, arrête de deviner pour les 310 autres. C’est aussi une donnée utile pour parler chiffres avec une direction qui demande combien de temps la démarche va prendre : 72 critères réglés d’avance, ce n’est pas rien, mais ce n’est pas la démarche au complet non plus.
Où trouver le détail exact des équivalences pour votre certification ?
Le dépôt Correspondances TGV liste chaque correspondance individuellement, avec son niveau et le critère TGV visé. C’est la source primaire : ce guide en résume la logique, le dépôt en donne le détail ligne par ligne.
Pour une vue d’ensemble avant de plonger dans le détail, notre pilier La TGV face à 13 référentiels : 1302 correspondances analysées situe les 13 référentiels les uns par rapport aux autres. Santé Québec publie de son côté une page de certification des solutions numériques qui décrit le processus de dépôt et de vérification, distincte du dépôt de correspondances : elle explique la démarche, pas les équivalences.
Et si vous voulez qu’une équipe externe croise vos certifications existantes avec la grille TGV et vous dise noir sur blanc quelles équivalences strictes TGV s’appliquent à votre produit, vous pouvez planifier un appel exploratoire pour identifier vos acquis directement transposables.
Pour aller plus loin avec Factero :
- transposer vos acquis vers la certification TGV
- obtenir la certification ISO 27001 avec Factero
- préparer votre attestation SOC 2
Foire aux questions
Une équivalence stricte ISO 27001 dispense-t-elle du test d’intrusion annuel exigé par la TGV ?
Non. L’équivalence stricte couvre seulement la preuve documentaire du critère visé au moment du dépôt initial. Une fois certifié, chaque fournisseur s’engage par écrit, dans son attestation de certification, à faire réaliser au moins un test d’intrusion par année par une firme indépendante et à transmettre les résultats avec son autodéclaration annuelle, peu importe les certifications déjà détenues.
Une équivalence stricte réduit-elle le délai officiel de vérification de la TGV ?
Non. Le Bureau de certification annonce 30 jours ouvrables pour l’étape de vérification, sans mention de réduction pour une certification tierce. L’avantage des équivalences se joue avant le dépôt, à l’étape de préparation, qui dure d’une à six semaines selon la maturité du produit : moins de preuves à reconstituer, pas un délai officiel plus court.
Le dépôt Correspondances TGV est-il mis à jour à chaque nouvelle version de la grille ?
Le dépôt est publié en données ouvertes sous licence CC BY 4.0 justement pour permettre ce suivi dans le temps. Consultez sa date de dernière mise à jour directement sur le dépôt avant de vous fier à un chiffre précis, surtout si la grille TGV elle-même a été révisée depuis.
Une équivalence stricte vaut-elle pour toutes les versions d’un référentiel ?
Non. Les correspondances du dépôt sont calculées contre une version précise, comme ISO/IEC 27001:2022. Une version antérieure ou une révision future du même référentiel peut changer le résultat, en mieux ou en moins bien.
