La Trousse globale de v\u00e9rification (TGV)<\/strong> est la certification r\u00e9glementaire du minist\u00e8re de la Sant\u00e9 et des Services sociaux du Qu\u00e9bec (MSSS) impos\u00e9e aux produits et services technologiques (PST) qui manipulent des renseignements de sant\u00e9. Le r\u00e9f\u00e9rentiel officiel publi\u00e9 par le Bureau de certification<\/strong> du MSSS (anciennement \u00ab Bureau de certification et d’homologation \u00bb ou BCH; le terme \u00ab BCH \u00bb reste utilis\u00e9 dans plusieurs documents officiels) \u2014 fichier Le certificat est valide 5 ans<\/strong> avec renouvellement annuel par autod\u00e9claration du fournisseur \u00e9valu\u00e9e par le Bureau de certification<\/strong> (sous r\u00e9serve d’absence de changement majeur).<\/p>\n\n\n\n Aucun r\u00e9f\u00e9rentiel international ne couvre les volets Performance, Technologie, Interop\u00e9rabilit\u00e9 et G\u00e9n\u00e9ral<\/strong>, qui repr\u00e9sentent ensemble 75 crit\u00e8res (29,5 % du r\u00e9f\u00e9rentiel TGV)<\/strong> et incluent l’arrimage au Dossier sant\u00e9 Qu\u00e9bec (DSQ), l’identification des usagers via NAM\/NIU\/GIU, l’h\u00e9bergement au Qu\u00e9bec et l’interface fran\u00e7aise obligatoire.<\/p>\n\n\n\n Cet article :<\/p>\n\n\n\n En bref :<\/strong> La certification TGV (Trousse globale de v\u00e9rification) est l’attestation r\u00e9glementaire du MSSS du Qu\u00e9bec exig\u00e9e pour tout produit ou service technologique manipulant des renseignements de sant\u00e9. Elle est d\u00e9livr\u00e9e par le Bureau de certification du MSSS et atteste qu’un PST satisfait les 254 crit\u00e8res du r\u00e9f\u00e9rentiel officiel publi\u00e9 par le minist\u00e8re.<\/p>\n<\/blockquote>\n\n\n\n La certification TGV<\/strong> (acronyme de Trousse globale de v\u00e9rification<\/strong>) est une attestation gouvernementale d\u00e9livr\u00e9e par le Bureau de certification<\/strong> du MSSS (anciennement Bureau de certification et d’homologation, BCH). Elle confirme qu’un produit ou service technologique r\u00e9pond aux exigences sectorielles du SSSS qu\u00e9b\u00e9cois en mati\u00e8re de s\u00e9curit\u00e9, de protection des renseignements personnels et de sant\u00e9, de performance, de technologie, d’interop\u00e9rabilit\u00e9 et d’exigences g\u00e9n\u00e9rales (fran\u00e7ais, absence de publicit\u00e9).<\/p>\n\n\n\n D\u00e9sambigu\u00efsation<\/strong> : \u00ab TGV \u00bb d\u00e9signe ici la Trousse globale de v\u00e9rification du Qu\u00e9bec, et non le train \u00e0 grande vitesse fran\u00e7ais.<\/p>\n<\/blockquote>\n\n\n\n La certification est obligatoire<\/strong> lorsqu’un PST :<\/p>\n\n\n\n Le certificat TGV est valide 5 ans<\/strong>, avec renouvellement annuel par autod\u00e9claration du fournisseur \u00e9valu\u00e9e par le Bureau de certification<\/strong>. Selon la page officielle du MSSS, \u00ab la dur\u00e9e de validit\u00e9 de toutes les certifications d\u00e9livr\u00e9es par le Bureau de certification est de cinq ans. Cependant, elles sont renouvelables annuellement apr\u00e8s \u00e9valuation du formulaire d’autod\u00e9claration d\u00e9montrant le respect des engagements pris en regard \u00e0 la certification obtenue. La certification est valide tant qu’il n’y a pas eu de changements, \u00e0 l’application elle-m\u00eame ou dans les syst\u00e8mes informationnels du secteur de la sant\u00e9 et des services sociaux. \u00bb<\/em> (Source : msss.gouv.qc.ca\/professionnels\/certification-produits-et-services-technologiques<\/a>.) L’\u00e9tape d’\u00e9valuation par le Bureau<\/strong> distingue ce m\u00e9canisme d’une simple auto-attestation.<\/p>\n\n\n\n Le processus d’obtention se d\u00e9roule en trois \u00e9tapes :<\/p>\n\n\n\n Le BCH ne publie pas de bar\u00e8me. Le co\u00fbt total d\u00e9pend de la maturit\u00e9 initiale du PST, de la firme v\u00e9rificatrice retenue, de l’envergure du test d’intrusion et du niveau d’accompagnement pr\u00e9paratoire. Un fournisseur souhaitant une estimation chiffr\u00e9e devrait consulter directement plusieurs firmes v\u00e9rificatrices reconnues par le BCH.<\/p>\n\n\n\n En bref :<\/strong> Selon le fichier officiel Le fichier officiel Note de m\u00e9thodologie<\/strong>. Le fichier officiel contient une anomalie de num\u00e9rotation<\/strong> : le crit\u00e8re cod\u00e9 Volet le plus volumineux du r\u00e9f\u00e9rentiel. Les 16 sous-domaines suivent une structure inspir\u00e9e de l’ISO 27001:2013<\/strong> (qui comportait 14 domaines dans son Annexe A) :<\/p>\n\n\n\nliste-criteres-TGV_v2024-06-18.xls<\/code>, derni\u00e8re version connue \u00e0 la date de cet article \u2014 compte exactement 254 crit\u00e8res r\u00e9partis en 6 volets<\/strong> :<\/p>\n\n\n\n\n
\n
\n\n\n\nSommaire<\/h2>\n\n\n\n
\n
1. Qu’est-ce que la certification TGV?<\/h2>\n\n\n\n
\n
\n
1.1 Qui doit obtenir la certification TGV?<\/h3>\n\n\n\n
\n
1.2 Combien de temps dure la certification TGV?<\/h3>\n\n\n\n
\n
1.3 Combien co\u00fbte une certification TGV?<\/h3>\n\n\n\n
2. Structure officielle des 254 crit\u00e8res<\/h2>\n\n\n\n
\n
liste-criteres-TGV_v2024-06-18.xls<\/code> publi\u00e9 par le MSSS le 18 juin 2024, le r\u00e9f\u00e9rentiel TGV comporte exactement 254 crit\u00e8res organis\u00e9s en 6 volets. Le volet S\u00e9curit\u00e9 repr\u00e9sente 104 crit\u00e8res (40,9 %), le volet PRPS 75 crit\u00e8res (29,5 %), le volet Interop\u00e9rabilit\u00e9 56 crit\u00e8res (22,0 %), et les volets Technologie (9), Performance (7) et G\u00e9n\u00e9ral (3) totalisent 19 crit\u00e8res (7,5 %).<\/p>\n<\/blockquote>\n\n\n\nliste-criteres-TGV_v2024-06-18.xls<\/code>, publi\u00e9 par le MSSS, contient 254 crit\u00e8res<\/strong> organis\u00e9s en six groupes :<\/p>\n\n\n\nGroupe<\/th> Codes<\/th> Crit\u00e8res<\/th> %<\/th> Cadre normatif d’inspiration<\/th><\/tr><\/thead> S\u00e9curit\u00e9<\/strong><\/td> S01-S16<\/td> 104<\/strong><\/td> 40,9 %<\/td> ISO\/IEC 27001:2013, ISO\/IEC 27002<\/td><\/tr> PRPS<\/strong><\/td> P01-P11<\/td> 75<\/strong><\/td> 29,5 %<\/td> ISO\/IEC 29100, Loi 25, LSSSS<\/td><\/tr> Interop\u00e9rabilit\u00e9<\/strong><\/td> I01-I57<\/td> 56<\/strong><\/td> 22,0 %<\/td> FHIR, HL7v3, normes provinciales<\/td><\/tr> Technologie<\/strong><\/td> T01-T09<\/td> 9<\/strong><\/td> 3,5 %<\/td> Architecture, h\u00e9bergement, accessibilit\u00e9<\/td><\/tr> Performance<\/strong><\/td> PF01-PF07<\/td> 7<\/strong><\/td> 2,8 %<\/td> Standards de performance applicative<\/td><\/tr> G\u00e9n\u00e9ral<\/strong><\/td> G01-G02 et I10<\/td> 3<\/strong><\/td> 1,2 %<\/td> Sp\u00e9cificit\u00e9s qu\u00e9b\u00e9coises (fran\u00e7ais, publicit\u00e9)<\/td><\/tr> Total<\/strong><\/td> <\/td> 254<\/strong><\/td> 100 %<\/td> <\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n \n
S08.19<\/code> (sur la d\u00e9connexion automatique de session) est en r\u00e9alit\u00e9 cat\u00e9goris\u00e9 \u00ab Contr\u00f4le des acc\u00e8s \u00bb et appartient probablement au sous-domaine S06 (notre interpr\u00e9tation, fond\u00e9e sur la cat\u00e9gorie et la position s\u00e9quentielle entre S06.18 et S06.20; non confirm\u00e9e par communication officielle MSSS). Par cat\u00e9gorie r\u00e9elle, S06 compte 24 crit\u00e8res et S08 en compte 4. Par code Num strict tel que publi\u00e9, S06 = 23 et S08 = 5. Cette anomalie n’invalide pas le total de 104 crit\u00e8res au volet S\u00e9curit\u00e9, mais elle illustre l’importance de lire le fichier source attentivement.<\/p>\n<\/blockquote>\n\n\n\n2.1 Le volet S\u00e9curit\u00e9 (104 crit\u00e8res, 16 sous-domaines)<\/h3>\n\n\n\n
Code<\/th> Sous-domaine officiel<\/th> Crit\u00e8res<\/th><\/tr><\/thead> S01<\/td> Gestion des risques<\/td> 3<\/td><\/tr> S02<\/td> Politique de s\u00e9curit\u00e9<\/td> 4<\/td><\/tr> S03<\/td> Organisation de la s\u00e9curit\u00e9<\/td> 6<\/td><\/tr> S04<\/td> S\u00e9curit\u00e9 des ressources humaines<\/td> 5<\/td><\/tr> S05<\/td> Gestion des actifs<\/td> 8<\/td><\/tr> S06<\/strong><\/td> Contr\u00f4le des acc\u00e8s<\/strong><\/td> 23<\/strong> (24 par cat\u00e9gorie)<\/td><\/tr> S07<\/td> Cryptographie<\/td> 3<\/td><\/tr> S08<\/td> S\u00e9curit\u00e9 physique et environnementale<\/td> 4 (5 incluant l’anomalie)<\/td><\/tr> S09<\/strong><\/td> S\u00e9curit\u00e9 li\u00e9e \u00e0 l’exploitation<\/strong><\/td> 12<\/strong><\/td><\/tr> S10<\/td> Journalisation et surveillance<\/td> 7<\/td><\/tr> S11<\/td> S\u00e9curit\u00e9 des communications<\/td> 5<\/td><\/tr> S12<\/td> Acquisition, d\u00e9veloppement et maintenance<\/td> 8<\/td><\/tr> S13<\/td> Relation avec les fournisseurs<\/td> 6<\/td><\/tr> S14<\/td> Gestion des incidents<\/td> 3<\/td><\/tr> S15<\/td> Continuit\u00e9 de l’activit\u00e9 (aspects s\u00e9curit\u00e9)<\/td> 3<\/td><\/tr> S16<\/td> Gestion de la conformit\u00e9<\/td> 3<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n