Vérification externe TGV : 7 étapes de préparation

En bref : La vérification externe TGV est l’étape du processus de certification où un test d’intrusion obligatoire, réalisé par une firme choisie dans un bassin restreint de fournisseurs, valide la sécurité réelle du produit. Elle survient après la correction des écarts identifiés dans votre dossier, et juste avant la décision du Bureau de certification de Santé Québec.

Dans cet article

Qu’est-ce que la vérification externe TGV dans le processus de certification ?

La vérification externe est l’avant-dernière étape du processus de certification TGV : elle survient après la correction des écarts de votre dossier, et juste avant la décision du Bureau. Elle comprend un test d’intrusion obligatoire : une équipe externe tente activement de compromettre votre produit, elle ne se contente pas de relire votre documentation.

La Trousse globale de vérification (TGV) est le processus de certification du ministère de la Santé et des Services sociaux (MSSS) du Québec pour les produits et services technologiques destinés au réseau de la santé. Le dossier suit plusieurs étapes, du dépôt initial jusqu’à la décision du Bureau de certification de Santé Québec. Nous les détaillons dans Certification TGV : les 5 étapes, du dépôt à la décision.

Le cadre général est décrit dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W). Le Bureau de certification tient aussi sa propre page de certification des solutions numériques, où les précisions opérationnelles les plus à jour se trouvent.

Pour un dirigeant qui a construit son dossier autour de politiques, de preuves documentaires et de réponses à un questionnaire, cette étape change de registre. Le produit est mis à l’épreuve, pas seulement décrit.

Si votre entreprise n’a jamais subi de test d’intrusion formel, plusieurs de nos échanges avec des dirigeants montrent le même réflexe : traiter cette étape comme une formalité de plus dans une liste déjà longue. C’est une erreur de calendrier autant que de posture. Un test d’intrusion se planifie avec des semaines d’avance, il ne se case pas entre deux autres priorités.

Qui réalise le pentest de certification TGV, et pourquoi le choix de la firme est encadré ?

Le mandat va à une entreprise choisie dans un bassin restreint de fournisseurs, pas nécessairement à celle que vous auriez retenue pour vos audits habituels. Le Bureau de certification n’accepte pas n’importe quelle firme pour réaliser ce test.

Cette contrainte a une logique simple. L’indépendance de la vérification est ce qui lui donne sa valeur. Un test d’intrusion commandé et payé par vous, mais réalisé par une firme que vous ne choisissez pas librement, réduit le risque qu’un fournisseur magasine un résultat complaisant.

Pour vous, la conséquence pratique est double. D’abord, vous ne planifiez pas ce test avec le partenaire de sécurité que vous connaissez déjà : une prise de contact et une mise en contexte sont à prévoir dans votre échéancier. Ensuite, le calendrier de cette firme n’est pas nécessairement aligné sur le vôtre. Mieux vaut confirmer ses disponibilités tôt que de découvrir un délai d’attente une fois vos autres étapes complétées.

Cette réalité a aussi une conséquence budgétaire. Le test d’intrusion s’ajoute au coût de préparation de votre dossier, il ne le remplace pas. Certaines entreprises découvrent cette charge tardivement, au moment où le calendrier de l’appel d’offres ne laisse plus de marge pour la négocier. Traitez ce test comme une ligne de votre budget de certification dès le départ, pas comme un imprévu de dernière minute.

Quels critères de la grille TGV le test d’intrusion vérifie-t-il ?

Le test d’intrusion vérifie une partie de la famille Sécurité de la grille TGV, sans couvrir l’ensemble de ses 112 critères sur les 382 que compte la grille au total. Plusieurs de ces critères se démontrent par de la documentation ou des preuves de configuration, pas par une attaque simulée. Mais c’est la partie de la grille où l’écart entre ce que vous affirmez et ce que votre produit fait réellement se révèle le plus vite. C’est exactement l’écart que la vérification externe TGV est conçue pour révéler.

La grille de vérification TGV compte 382 critères répartis en 7 familles. La famille Sécurité, à elle seule, en compte 112, la plus grande part de la grille. Nous la détaillons dans Famille Sécurité de la TGV : 112 critères au cœur de la grille.

Voici où se situe cette étape dans l’ensemble du processus :

Étape	Ce qui s’y passe
Dépôt et autoévaluation	Vous démontrez, critère par critère, la conformité de votre produit à la grille
Correction des écarts	Vous corrigez ce que l’évaluation de votre dossier a révélé
Vérification externe (test d’intrusion)	Une firme du bassin restreint teste activement votre produit
Décision du Bureau de certification	Santé Québec rend sa décision

Comment se préparer à un test d’intrusion quand on n’en a jamais vécu ?

Un test d’intrusion formel n’a rien d’un audit documentaire. Si votre équipe n’en a jamais vécu, voici sept gestes qui font la différence entre une préparation improvisée et une préparation qui tient la route.

Cartographiez le périmètre exact que couvrira le test : application web, interfaces de programmation, infrastructure, mécanismes d’authentification. Un périmètre flou coûte du temps aux deux parties dès le premier jour.
Préparez un environnement représentatif de votre produit en production, distinct de votre environnement client réel si votre architecture le permet.
Rassemblez à l’avance la documentation technique que la firme demandera : schémas d’architecture, comptes de test, accès nécessaires.
Informez vos équipes internes des dates prévues, pour qu’une activité anormale détectée pendant le test ne déclenche pas une fausse alerte de sécurité.
Prévoyez un délai réaliste entre la fin du test et la date limite de dépôt de votre dossier. La remédiation prend du temps, un retest aussi.
Désignez une seule personne responsable de recevoir le rapport et d’en coordonner le suivi interne.
Consultez au besoin les guides pour PME du Centre canadien pour la cybersécurité, une référence utile pour les bonnes pratiques générales avant d’aborder les exigences propres à la TGV.

Le fil conducteur de cette liste : rien ne s’improvise la semaine précédant le test. Ce qui se prépare en amont se règle en heures, ce qui se découvre pendant le test se règle en jours, parfois en semaines.

Que se passe-t-il si le test d’intrusion révèle des vulnérabilités ?

Dans les faits, c’est l’issue la plus fréquente d’un premier test d’intrusion formel : trouver quelque chose. Ce n’est pas en soi un échec de votre démarche, c’est la raison d’être de l’étape.

Ce qui distingue une vulnérabilité mineure d’un problème structurel, c’est sa gravité et l’ampleur de la correction qu’elle demande. Une faille de configuration se corrige parfois en quelques jours. Une faiblesse dans l’architecture d’authentification peut exiger un remaniement plus large, avec un nouveau test pour confirmer la correction.

C’est ici que revient l’avertissement que nous répétons dans ce blogue : personne ne peut vous garantir la certification. La vérification externe TGV est une obligation de moyens pour vous, pas une obligation de résultat pour qui vous accompagne. Un dossier bien préparé réduit le risque de mauvaise surprise, il ne l’élimine pas.

Le rapport du test d’intrusion n’est pas qu’un obstacle à franchir. C’est aussi la vue la plus honnête que vous obtiendrez sur la sécurité réelle de votre produit, plus honnête qu’un questionnaire interne ou qu’une revue de code entre collègues. Des dirigeants nous disent parfois, après coup, que cette étape leur a appris davantage sur leur produit que tout le reste du dossier réuni. Ce n’est pas un hasard : personne d’autre dans le processus n’a le mandat, ni l’intérêt, de vraiment essayer de le compromettre.

Pourquoi l’expérience de Factero avec sa propre certification éclaire cette étape ?

Nous ne parlons pas de la vérification externe uniquement comme observateurs. Factero est certifié CyberSécuritaire Canada, sous la norme CAN/DGSI 104 du Digital Governance Standards Institute, niveau 1, depuis le 19 avril 2026. La certification est vérifiable publiquement dans IAF CertSearch. Nous en avons fait l’annonce de notre certification CyberSécuritaire Canada le jour même.

Ce n’est pas la même norme que la TGV, ni le même vérificateur, ni la même grille. Mais la mécanique se ressemble : une équipe externe vérifie ce que vous affirmez, avant qu’un organisme rende sa décision. Nous avons vécu cette étape de l’autre côté, comme demandeur, avant de guider des fournisseurs qui la vivent pour la TGV. C’est le cordonnier qui commence par chausser ses propres souliers avant de conseiller les autres sur les leurs.

Ce parcours a aussi une leçon générale sur la préparation à un audit externe, que nous détaillons dans L’audit pré-certification : arriver prêt le jour officiel. Les détails diffèrent d’un programme à l’autre, la discipline de préparation, elle, se transpose.

Nous accompagnons des fournisseurs technologiques dans leur démarche de certification TGV, de la cartographie initiale jusqu’à la vérification externe TGV et la décision du Bureau. Si votre dossier approche cette étape et que votre équipe n’a jamais vécu de test d’intrusion formel, vous pouvez planifier un appel exploratoire : trente minutes suffisent pour situer où vous en êtes et ce qu’il reste à préparer.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

accompagnement TGV jusqu’à la vérification externe

Foire aux questions

Le test d’intrusion pour la certification TGV est-il obligatoire ?

Oui. Le Bureau de certification en fait un prérequis à l’obtention de la certification TGV pour tout produit ou service technologique qui utilise des données personnelles, de santé ou de services sociaux. Ce n’est pas une option laissée à la discrétion du fournisseur, ni une étape que vous pouvez remplacer par une revue documentaire.

Combien de temps dure la vérification externe TGV ?

La vérification par la firme spécialisée se déroule en 30 jours ouvrables, selon le Bureau de certification de Santé Québec. Ce délai s’ajoute à celui de la correction des écarts qui la précède et à celui de la décision qui la suit : comptez-le dans votre échéancier global, pas seulement dans celui du test lui-même.

Qui paie le test d’intrusion exigé pour la certification TGV ?

C’est vous, le fournisseur du produit, qui assumez ce coût, pas le Bureau de certification. Le test d’intrusion s’ajoute à votre budget de préparation du dossier, il ne le remplace pas. Prévoyez cette ligne budgétaire dès le départ : elle échappe souvent à une première estimation qui ne compte que les frais de dossier.

Faut-il refaire un test d’intrusion chaque année après avoir obtenu la certification TGV ?

Oui. L’attestation de certification TGV engage le fournisseur à réaliser au moins un test d’intrusion par année auprès d’une firme indépendante, et à transmettre les résultats au plus tard avec son autodéclaration annuelle. La certification n’est donc pas un exercice ponctuel : elle suppose une vérification récurrente tant que le produit reste certifié.

Quel type de test d’intrusion (boîte blanche, grise ou noire) le Bureau de certification accepte-t-il ?

Le test en boîte blanche, où l’équipe dispose des mêmes accès qu’un administrateur, est accepté dans tous les cas. La boîte grise n’est acceptée que pour certains produits non sensibles, sans déploiement provincial prévu. La boîte noire, limitée à ce que verrait un attaquant externe sans accès préalable, n’est pas acceptée par le Bureau de certification et d’homologation.

Vérification externe TGV : se préparer au test d’intrusion

Besoin d’aide sur ce sujet ?