{"id":827,"date":"2026-06-11T07:00:00","date_gmt":"2026-06-11T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=827"},"modified":"2026-09-04T13:16:59","modified_gmt":"2026-09-04T18:16:59","slug":"verification-externe-tgv-pentest","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/verification-externe-tgv-pentest\/","title":{"rendered":"V\u00e9rification externe TGV : se pr\u00e9parer au test d&rsquo;intrusion"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>La v\u00e9rification externe TGV est l&rsquo;\u00e9tape du processus de certification o\u00f9 un test d&rsquo;intrusion obligatoire, r\u00e9alis\u00e9 par une firme choisie dans un bassin restreint de fournisseurs, valide la s\u00e9curit\u00e9 r\u00e9elle du produit.<\/strong> Elle survient apr\u00e8s la correction des \u00e9carts identifi\u00e9s dans votre dossier, et juste avant la d\u00e9cision du Bureau de certification de Sant\u00e9 Qu\u00e9bec.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/tgv.png\" alt=\"v\u00e9rification externe TGV : le test d'intrusion avant la d\u00e9cision\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#qu-est-ce-que-la-verification-externe-tgv-dans-le-processus-de-certification\">Qu&rsquo;est-ce que la v\u00e9rification externe TGV dans le processus de certification ?<\/a><\/li><li class=\"\"><a href=\"#qui-realise-le-pentest-de-certification-tgv-et-pourquoi-le-choix-de-la-firme-est-encadre\">Qui r\u00e9alise le pentest de certification TGV, et pourquoi le choix de la firme est encadr\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#quels-criteres-de-la-grille-tgv-le-test-d-intrusion-verifie-t-il\">Quels crit\u00e8res de la grille TGV le test d&rsquo;intrusion v\u00e9rifie-t-il ?<\/a><\/li><li class=\"\"><a href=\"#comment-se-preparer-a-un-test-d-intrusion-quand-on-n-en-a-jamais-vecu\">Comment se pr\u00e9parer \u00e0 un test d&rsquo;intrusion quand on n&rsquo;en a jamais v\u00e9cu ?<\/a><\/li><li class=\"\"><a href=\"#que-se-passe-t-il-si-le-test-d-intrusion-revele-des-vulnerabilites\">Que se passe-t-il si le test d&rsquo;intrusion r\u00e9v\u00e8le des vuln\u00e9rabilit\u00e9s ?<\/a><\/li><li class=\"\"><a href=\"#pourquoi-l-experience-de-factero-avec-sa-propre-certification-eclaire-cette-etape\">Pourquoi l&rsquo;exp\u00e9rience de Factero avec sa propre certification \u00e9claire cette \u00e9tape ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"qu-est-ce-que-la-verification-externe-tgv-dans-le-processus-de-certification\" class=\"wp-block-heading\">Qu&rsquo;est-ce que la v\u00e9rification externe TGV dans le processus de certification ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>La v\u00e9rification externe est l&rsquo;avant-derni\u00e8re \u00e9tape du processus de certification TGV : elle survient apr\u00e8s la correction des \u00e9carts de votre dossier, et juste avant la d\u00e9cision du Bureau.<\/strong> Elle comprend un test d&rsquo;intrusion obligatoire : une \u00e9quipe externe tente activement de compromettre votre produit, elle ne se contente pas de relire votre documentation.<\/p>\n\n<p class=\"wp-block-paragraph\">La Trousse globale de v\u00e9rification (TGV) est le processus de certification du minist\u00e8re de la Sant\u00e9 et des Services sociaux (MSSS) du Qu\u00e9bec pour les produits et services technologiques destin\u00e9s au r\u00e9seau de la sant\u00e9. Le dossier suit plusieurs \u00e9tapes, du d\u00e9p\u00f4t initial jusqu&rsquo;\u00e0 la d\u00e9cision du Bureau de certification de Sant\u00e9 Qu\u00e9bec. Nous les d\u00e9taillons dans <a href=\"https:\/\/factero.ca\/blog\/processus-certification-tgv-5-etapes\/\">Certification TGV : les 5 \u00e9tapes, du d\u00e9p\u00f4t \u00e0 la d\u00e9cision<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Le cadre g\u00e9n\u00e9ral est d\u00e9crit dans <a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">l&rsquo;orientation officielle du MSSS sur la certification TGV<\/a> (publication 24-715-38W). Le Bureau de certification tient aussi sa propre page de certification des solutions num\u00e9riques, o\u00f9 les pr\u00e9cisions op\u00e9rationnelles les plus \u00e0 jour se trouvent.<\/p>\n\n<p class=\"wp-block-paragraph\">Pour un dirigeant qui a construit son dossier autour de politiques, de preuves documentaires et de r\u00e9ponses \u00e0 un questionnaire, cette \u00e9tape change de registre. Le produit est mis \u00e0 l&rsquo;\u00e9preuve, pas seulement d\u00e9crit.<\/p>\n\n<p class=\"wp-block-paragraph\">Si votre entreprise n&rsquo;a jamais subi de test d&rsquo;intrusion formel, plusieurs de nos \u00e9changes avec des dirigeants montrent le m\u00eame r\u00e9flexe : traiter cette \u00e9tape comme une formalit\u00e9 de plus dans une liste d\u00e9j\u00e0 longue. C&rsquo;est une erreur de calendrier autant que de posture. Un test d&rsquo;intrusion se planifie avec des semaines d&rsquo;avance, il ne se case pas entre deux autres priorit\u00e9s.<\/p>\n\n<h2 id=\"qui-realise-le-pentest-de-certification-tgv-et-pourquoi-le-choix-de-la-firme-est-encadre\" class=\"wp-block-heading\">Qui r\u00e9alise le pentest de certification TGV, et pourquoi le choix de la firme est encadr\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le mandat va \u00e0 une entreprise choisie dans un bassin restreint de fournisseurs, pas n\u00e9cessairement \u00e0 celle que vous auriez retenue pour vos audits habituels. Le Bureau de certification n&rsquo;accepte pas n&rsquo;importe quelle firme pour r\u00e9aliser ce test.<\/p>\n\n<p class=\"wp-block-paragraph\">Cette contrainte a une logique simple. L&rsquo;ind\u00e9pendance de la v\u00e9rification est ce qui lui donne sa valeur. Un test d&rsquo;intrusion command\u00e9 et pay\u00e9 par vous, mais r\u00e9alis\u00e9 par une firme que vous ne choisissez pas librement, r\u00e9duit le risque qu&rsquo;un fournisseur magasine un r\u00e9sultat complaisant.<\/p>\n\n<p class=\"wp-block-paragraph\">Pour vous, la cons\u00e9quence pratique est double. D&rsquo;abord, vous ne planifiez pas ce test avec le partenaire de s\u00e9curit\u00e9 que vous connaissez d\u00e9j\u00e0 : une prise de contact et une mise en contexte sont \u00e0 pr\u00e9voir dans votre \u00e9ch\u00e9ancier. Ensuite, le calendrier de cette firme n&rsquo;est pas n\u00e9cessairement align\u00e9 sur le v\u00f4tre. Mieux vaut confirmer ses disponibilit\u00e9s t\u00f4t que de d\u00e9couvrir un d\u00e9lai d&rsquo;attente une fois vos autres \u00e9tapes compl\u00e9t\u00e9es.<\/p>\n\n<p class=\"wp-block-paragraph\">Cette r\u00e9alit\u00e9 a aussi une cons\u00e9quence budg\u00e9taire. Le test d&rsquo;intrusion s&rsquo;ajoute au co\u00fbt de pr\u00e9paration de votre dossier, il ne le remplace pas. Certaines entreprises d\u00e9couvrent cette charge tardivement, au moment o\u00f9 le calendrier de l&rsquo;appel d&rsquo;offres ne laisse plus de marge pour la n\u00e9gocier. Traitez ce test comme une ligne de votre budget de certification d\u00e8s le d\u00e9part, pas comme un impr\u00e9vu de derni\u00e8re minute.<\/p>\n\n<h2 id=\"quels-criteres-de-la-grille-tgv-le-test-d-intrusion-verifie-t-il\" class=\"wp-block-heading\">Quels crit\u00e8res de la grille TGV le test d&rsquo;intrusion v\u00e9rifie-t-il ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Le test d&rsquo;intrusion v\u00e9rifie une partie de la famille S\u00e9curit\u00e9 de la grille TGV, sans couvrir l&rsquo;ensemble de ses 112 crit\u00e8res sur les 382 que compte la grille au total.<\/strong> Plusieurs de ces crit\u00e8res se d\u00e9montrent par de la documentation ou des preuves de configuration, pas par une attaque simul\u00e9e. Mais c&rsquo;est la partie de la grille o\u00f9 l&rsquo;\u00e9cart entre ce que vous affirmez et ce que votre produit fait r\u00e9ellement se r\u00e9v\u00e8le le plus vite. C&rsquo;est exactement l&rsquo;\u00e9cart que la v\u00e9rification externe TGV est con\u00e7ue pour r\u00e9v\u00e9ler.<\/p>\n\n<p class=\"wp-block-paragraph\">La grille de v\u00e9rification TGV compte 382 crit\u00e8res r\u00e9partis en 7 familles. La famille S\u00e9curit\u00e9, \u00e0 elle seule, en compte 112, la plus grande part de la grille. Nous la d\u00e9taillons dans <a href=\"https:\/\/factero.ca\/blog\/famille-securite-tgv-112-criteres\/\">Famille S\u00e9curit\u00e9 de la TGV : 112 crit\u00e8res au c\u0153ur de la grille<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Voici o\u00f9 se situe cette \u00e9tape dans l&rsquo;ensemble du processus :<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>\u00c9tape<\/th><th>Ce qui s&rsquo;y passe<\/th><\/tr><\/thead><tbody><tr><td>D\u00e9p\u00f4t et auto\u00e9valuation<\/td><td>Vous d\u00e9montrez, crit\u00e8re par crit\u00e8re, la conformit\u00e9 de votre produit \u00e0 la grille<\/td><\/tr><tr><td>Correction des \u00e9carts<\/td><td>Vous corrigez ce que l&rsquo;\u00e9valuation de votre dossier a r\u00e9v\u00e9l\u00e9<\/td><\/tr><tr><td>V\u00e9rification externe (test d&rsquo;intrusion)<\/td><td>Une firme du bassin restreint teste activement votre produit<\/td><\/tr><tr><td>D\u00e9cision du Bureau de certification<\/td><td>Sant\u00e9 Qu\u00e9bec rend sa d\u00e9cision<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<h2 id=\"comment-se-preparer-a-un-test-d-intrusion-quand-on-n-en-a-jamais-vecu\" class=\"wp-block-heading\">Comment se pr\u00e9parer \u00e0 un test d&rsquo;intrusion quand on n&rsquo;en a jamais v\u00e9cu ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un test d&rsquo;intrusion formel n&rsquo;a rien d&rsquo;un audit documentaire. Si votre \u00e9quipe n&rsquo;en a jamais v\u00e9cu, voici sept gestes qui font la diff\u00e9rence entre une pr\u00e9paration improvis\u00e9e et une pr\u00e9paration qui tient la route.<\/p>\n\n<ol class=\"wp-block-list\"><li>Cartographiez le p\u00e9rim\u00e8tre exact que couvrira le test : application web, interfaces de programmation, infrastructure, m\u00e9canismes d&rsquo;authentification. Un p\u00e9rim\u00e8tre flou co\u00fbte du temps aux deux parties d\u00e8s le premier jour.<\/li><li>Pr\u00e9parez un environnement repr\u00e9sentatif de votre produit en production, distinct de votre environnement client r\u00e9el si votre architecture le permet.<\/li><li>Rassemblez \u00e0 l&rsquo;avance la documentation technique que la firme demandera : sch\u00e9mas d&rsquo;architecture, comptes de test, acc\u00e8s n\u00e9cessaires.<\/li><li>Informez vos \u00e9quipes internes des dates pr\u00e9vues, pour qu&rsquo;une activit\u00e9 anormale d\u00e9tect\u00e9e pendant le test ne d\u00e9clenche pas une fausse alerte de s\u00e9curit\u00e9.<\/li><li>Pr\u00e9voyez un d\u00e9lai r\u00e9aliste entre la fin du test et la date limite de d\u00e9p\u00f4t de votre dossier. La rem\u00e9diation prend du temps, un retest aussi.<\/li><li>D\u00e9signez une seule personne responsable de recevoir le rapport et d&rsquo;en coordonner le suivi interne.<\/li><li>Consultez au besoin les <a href=\"https:\/\/cyber.gc.ca\" target=\"_blank\" rel=\"noopener nofollow\">guides pour PME du Centre canadien pour la cybers\u00e9curit\u00e9<\/a>, une r\u00e9f\u00e9rence utile pour les bonnes pratiques g\u00e9n\u00e9rales avant d&rsquo;aborder les exigences propres \u00e0 la TGV.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Le fil conducteur de cette liste : rien ne s&rsquo;improvise la semaine pr\u00e9c\u00e9dant le test. Ce qui se pr\u00e9pare en amont se r\u00e8gle en heures, ce qui se d\u00e9couvre pendant le test se r\u00e8gle en jours, parfois en semaines.<\/p>\n\n<h2 id=\"que-se-passe-t-il-si-le-test-d-intrusion-revele-des-vulnerabilites\" class=\"wp-block-heading\">Que se passe-t-il si le test d&rsquo;intrusion r\u00e9v\u00e8le des vuln\u00e9rabilit\u00e9s ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Dans les faits, c&rsquo;est l&rsquo;issue la plus fr\u00e9quente d&rsquo;un premier test d&rsquo;intrusion formel : trouver quelque chose. Ce n&rsquo;est pas en soi un \u00e9chec de votre d\u00e9marche, c&rsquo;est la raison d&rsquo;\u00eatre de l&rsquo;\u00e9tape.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qui distingue une vuln\u00e9rabilit\u00e9 mineure d&rsquo;un probl\u00e8me structurel, c&rsquo;est sa gravit\u00e9 et l&rsquo;ampleur de la correction qu&rsquo;elle demande. Une faille de configuration se corrige parfois en quelques jours. Une faiblesse dans l&rsquo;architecture d&rsquo;authentification peut exiger un remaniement plus large, avec un nouveau test pour confirmer la correction.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est ici que revient l&rsquo;avertissement que nous r\u00e9p\u00e9tons dans ce blogue : personne ne peut vous garantir la certification. La v\u00e9rification externe TGV est une obligation de moyens pour vous, pas une obligation de r\u00e9sultat pour qui vous accompagne. Un dossier bien pr\u00e9par\u00e9 r\u00e9duit le risque de mauvaise surprise, il ne l&rsquo;\u00e9limine pas.<\/p>\n\n<p class=\"wp-block-paragraph\">Le rapport du test d&rsquo;intrusion n&rsquo;est pas qu&rsquo;un obstacle \u00e0 franchir. C&rsquo;est aussi la vue la plus honn\u00eate que vous obtiendrez sur la s\u00e9curit\u00e9 r\u00e9elle de votre produit, plus honn\u00eate qu&rsquo;un questionnaire interne ou qu&rsquo;une revue de code entre coll\u00e8gues. Des dirigeants nous disent parfois, apr\u00e8s coup, que cette \u00e9tape leur a appris davantage sur leur produit que tout le reste du dossier r\u00e9uni. Ce n&rsquo;est pas un hasard : personne d&rsquo;autre dans le processus n&rsquo;a le mandat, ni l&rsquo;int\u00e9r\u00eat, de vraiment essayer de le compromettre.<\/p>\n\n<h2 id=\"pourquoi-l-experience-de-factero-avec-sa-propre-certification-eclaire-cette-etape\" class=\"wp-block-heading\">Pourquoi l&rsquo;exp\u00e9rience de Factero avec sa propre certification \u00e9claire cette \u00e9tape ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Nous ne parlons pas de la v\u00e9rification externe uniquement comme observateurs. Factero est certifi\u00e9 <a href=\"https:\/\/ised-isde.canada.ca\" target=\"_blank\" rel=\"noopener nofollow\">CyberS\u00e9curitaire Canada<\/a>, sous la norme <a href=\"https:\/\/dgc-cgn.org\" target=\"_blank\" rel=\"noopener nofollow\">CAN\/DGSI 104<\/a> du Digital Governance Standards Institute, niveau 1, depuis le 19 avril 2026. La certification est v\u00e9rifiable publiquement dans <a href=\"https:\/\/iafcertsearch.org\" target=\"_blank\" rel=\"noopener nofollow\">IAF CertSearch<\/a>. Nous en avons fait <a href=\"https:\/\/factero.ca\/blog\/factero-certifie-cybersecure-canada\/\">l&rsquo;annonce de notre certification CyberS\u00e9curitaire Canada<\/a> le jour m\u00eame.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce n&rsquo;est pas la m\u00eame norme que la TGV, ni le m\u00eame v\u00e9rificateur, ni la m\u00eame grille. Mais la m\u00e9canique se ressemble : une \u00e9quipe externe v\u00e9rifie ce que vous affirmez, avant qu&rsquo;un organisme rende sa d\u00e9cision. Nous avons v\u00e9cu cette \u00e9tape de l&rsquo;autre c\u00f4t\u00e9, comme demandeur, avant de guider des fournisseurs qui la vivent pour la TGV. C&rsquo;est le cordonnier qui commence par chausser ses propres souliers avant de conseiller les autres sur les leurs.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce parcours a aussi une le\u00e7on g\u00e9n\u00e9rale sur la pr\u00e9paration \u00e0 un audit externe, que nous d\u00e9taillons dans <a href=\"https:\/\/factero.ca\/blog\/audit-pre-certification\/\">L&rsquo;audit pr\u00e9-certification : arriver pr\u00eat le jour officiel<\/a>. Les d\u00e9tails diff\u00e8rent d&rsquo;un programme \u00e0 l&rsquo;autre, la discipline de pr\u00e9paration, elle, se transpose.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous accompagnons des fournisseurs technologiques dans leur d\u00e9marche de certification TGV, de la cartographie initiale jusqu&rsquo;\u00e0 la v\u00e9rification externe TGV et la d\u00e9cision du Bureau. Si votre dossier approche cette \u00e9tape et que votre \u00e9quipe n&rsquo;a jamais v\u00e9cu de test d&rsquo;intrusion formel, vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">planifier un appel exploratoire<\/a> : trente minutes suffisent pour situer o\u00f9 vous en \u00eates et ce qu&rsquo;il reste \u00e0 pr\u00e9parer.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">accompagnement TGV jusqu&rsquo;\u00e0 la v\u00e9rification externe<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le test d&rsquo;intrusion pour la certification TGV est-il obligatoire ?<\/summary><p class=\"wp-block-paragraph\">Oui. Le Bureau de certification en fait un pr\u00e9requis \u00e0 l&rsquo;obtention de la certification TGV pour tout produit ou service technologique qui utilise des donn\u00e9es personnelles, de sant\u00e9 ou de services sociaux. Ce n&rsquo;est pas une option laiss\u00e9e \u00e0 la discr\u00e9tion du fournisseur, ni une \u00e9tape que vous pouvez remplacer par une revue documentaire.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps dure la v\u00e9rification externe TGV ?<\/summary><p class=\"wp-block-paragraph\">La v\u00e9rification par la firme sp\u00e9cialis\u00e9e se d\u00e9roule en 30 jours ouvrables, selon le Bureau de certification de Sant\u00e9 Qu\u00e9bec. Ce d\u00e9lai s&rsquo;ajoute \u00e0 celui de la correction des \u00e9carts qui la pr\u00e9c\u00e8de et \u00e0 celui de la d\u00e9cision qui la suit : comptez-le dans votre \u00e9ch\u00e9ancier global, pas seulement dans celui du test lui-m\u00eame.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Qui paie le test d&rsquo;intrusion exig\u00e9 pour la certification TGV ?<\/summary><p class=\"wp-block-paragraph\">C&rsquo;est vous, le fournisseur du produit, qui assumez ce co\u00fbt, pas le Bureau de certification. Le test d&rsquo;intrusion s&rsquo;ajoute \u00e0 votre budget de pr\u00e9paration du dossier, il ne le remplace pas. Pr\u00e9voyez cette ligne budg\u00e9taire d\u00e8s le d\u00e9part : elle \u00e9chappe souvent \u00e0 une premi\u00e8re estimation qui ne compte que les frais de dossier.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Faut-il refaire un test d&rsquo;intrusion chaque ann\u00e9e apr\u00e8s avoir obtenu la certification TGV ?<\/summary><p class=\"wp-block-paragraph\">Oui. L&rsquo;attestation de certification TGV engage le fournisseur \u00e0 r\u00e9aliser au moins un test d&rsquo;intrusion par ann\u00e9e aupr\u00e8s d&rsquo;une firme ind\u00e9pendante, et \u00e0 transmettre les r\u00e9sultats au plus tard avec son autod\u00e9claration annuelle. La certification n&rsquo;est donc pas un exercice ponctuel : elle suppose une v\u00e9rification r\u00e9currente tant que le produit reste certifi\u00e9.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quel type de test d&rsquo;intrusion (bo\u00eete blanche, grise ou noire) le Bureau de certification accepte-t-il ?<\/summary><p class=\"wp-block-paragraph\">Le test en bo\u00eete blanche, o\u00f9 l&rsquo;\u00e9quipe dispose des m\u00eames acc\u00e8s qu&rsquo;un administrateur, est accept\u00e9 dans tous les cas. La bo\u00eete grise n&rsquo;est accept\u00e9e que pour certains produits non sensibles, sans d\u00e9ploiement provincial pr\u00e9vu. La bo\u00eete noire, limit\u00e9e \u00e0 ce que verrait un attaquant externe sans acc\u00e8s pr\u00e9alable, n&rsquo;est pas accept\u00e9e par le Bureau de certification et d&rsquo;homologation.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/dgc-cgn.org\" target=\"_blank\" rel=\"noopener nofollow\">Norme CAN\/DGSI 104 (Digital Governance Standards Institute)<\/a><\/li><li><a href=\"https:\/\/ised-isde.canada.ca\" target=\"_blank\" rel=\"noopener nofollow\">Programme CyberS\u00e9curitaire Canada (Innovation, Sciences et D\u00e9veloppement \u00e9conomique Canada)<\/a><\/li><li><a href=\"https:\/\/msss.gouv.qc.ca\/professionnels\/technologies-information\/certification-produits-et-services-technologiques\/\" target=\"_blank\" rel=\"noopener nofollow\">Page de certification des solutions num\u00e9riques (Sant\u00e9 Qu\u00e9bec \/ MSSS)<\/a><\/li><li><a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">Orientation \u2014 Certification TGV (MSSS, publication 24-715-38W)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/\" target=\"_blank\" rel=\"noopener nofollow\">Guides pour PME du Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><li><a href=\"https:\/\/www.iafcertsearch.org\/\" target=\"_blank\" rel=\"noopener nofollow\">IAF CertSearch (v\u00e9rification publique des certificats)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Le test d\\u0027intrusion pour la certification TGV est-il obligatoire ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. Le Bureau de certification en fait un pr\u00e9requis \u00e0 l\\u0027obtention de la certification TGV pour tout produit ou service technologique qui utilise des donn\u00e9es personnelles, de sant\u00e9 ou de services sociaux. Ce n\\u0027est pas une option laiss\u00e9e \u00e0 la discr\u00e9tion du fournisseur, ni une \u00e9tape que vous pouvez remplacer par une revue documentaire.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps dure la v\u00e9rification externe TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La v\u00e9rification par la firme sp\u00e9cialis\u00e9e se d\u00e9roule en 30 jours ouvrables, selon le Bureau de certification de Sant\u00e9 Qu\u00e9bec. Ce d\u00e9lai s\\u0027ajoute \u00e0 celui de la correction des \u00e9carts qui la pr\u00e9c\u00e8de et \u00e0 celui de la d\u00e9cision qui la suit : comptez-le dans votre \u00e9ch\u00e9ancier global, pas seulement dans celui du test lui-m\u00eame.\"}},{\"@type\":\"Question\",\"name\":\"Qui paie le test d\\u0027intrusion exig\u00e9 pour la certification TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"C\\u0027est vous, le fournisseur du produit, qui assumez ce co\u00fbt, pas le Bureau de certification. Le test d\\u0027intrusion s\\u0027ajoute \u00e0 votre budget de pr\u00e9paration du dossier, il ne le remplace pas. Pr\u00e9voyez cette ligne budg\u00e9taire d\u00e8s le d\u00e9part : elle \u00e9chappe souvent \u00e0 une premi\u00e8re estimation qui ne compte que les frais de dossier.\"}},{\"@type\":\"Question\",\"name\":\"Faut-il refaire un test d\\u0027intrusion chaque ann\u00e9e apr\u00e8s avoir obtenu la certification TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. L\\u0027attestation de certification TGV engage le fournisseur \u00e0 r\u00e9aliser au moins un test d\\u0027intrusion par ann\u00e9e aupr\u00e8s d\\u0027une firme ind\u00e9pendante, et \u00e0 transmettre les r\u00e9sultats au plus tard avec son autod\u00e9claration annuelle. La certification n\\u0027est donc pas un exercice ponctuel : elle suppose une v\u00e9rification r\u00e9currente tant que le produit reste certifi\u00e9.\"}},{\"@type\":\"Question\",\"name\":\"Quel type de test d\\u0027intrusion (bo\u00eete blanche, grise ou noire) le Bureau de certification accepte-t-il ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le test en bo\u00eete blanche, o\u00f9 l\\u0027\u00e9quipe dispose des m\u00eames acc\u00e8s qu\\u0027un administrateur, est accept\u00e9 dans tous les cas. La bo\u00eete grise n\\u0027est accept\u00e9e que pour certains produits non sensibles, sans d\u00e9ploiement provincial pr\u00e9vu. La bo\u00eete noire, limit\u00e9e \u00e0 ce que verrait un attaquant externe sans acc\u00e8s pr\u00e9alable, n\\u0027est pas accept\u00e9e par le Bureau de certification et d\\u0027homologation.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>La v\u00e9rification externe TGV impose un test d&rsquo;intrusion men\u00e9 par une firme d&rsquo;un bassin restreint, juste avant la d\u00e9cision du Bureau. Comment vous y pr\u00e9parer.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"single-tgv","format":"standard","meta":{"footnotes":""},"categories":[15],"tags":[40,724,50,726,48,722],"class_list":["post-827","post","type-post","status-publish","format-standard","hentry","category-tgv","tag-certification-tgv","tag-pentest-certification-tgv","tag-sante-quebec","tag-test-dintrusion-sante-quebec","tag-tgv","tag-verification-externe-tgv"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/827","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=827"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/827\/revisions"}],"predecessor-version":[{"id":1320,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/827\/revisions\/1320"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=827"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=827"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=827"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}