{"id":857,"date":"2026-08-18T07:00:00","date_gmt":"2026-08-18T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=857"},"modified":"2026-09-04T13:16:49","modified_gmt":"2026-09-04T18:16:49","slug":"hitrust-vs-tgv","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/hitrust-vs-tgv\/","title":{"rendered":"HITRUST et TGV : pourquoi 101 correspondances ne suffisent pas"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>HITRUST vs TGV : HITRUST CSF v11 ne recoupe que 101 des 382 crit\u00e8res de la grille TGV (Trousse globale de v\u00e9rification) du minist\u00e8re de la Sant\u00e9 et des Services sociaux du Qu\u00e9bec, le score le plus bas des six r\u00e9f\u00e9rentiels compar\u00e9s par Factero.<\/strong> Une correspondance document\u00e9e entre deux r\u00e9f\u00e9rentiels ne veut pas dire qu&rsquo;un crit\u00e8re est d\u00e9j\u00e0 satisfait : ce sont deux choses diff\u00e9rentes.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/tgv.png\" alt=\"HITRUST vs TGV : 101 correspondances sur 382 crit\u00e8res\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Si votre entreprise a investi dans HITRUST CSF v11 parce qu&rsquo;il vise justement la sant\u00e9, ce r\u00e9sultat surprend. Il s&rsquo;explique, et il change la fa\u00e7on de planifier un dossier TGV.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est une situation fr\u00e9quente chez les \u00e9diteurs am\u00e9ricains qui approchent le r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois pour la premi\u00e8re fois. Le dossier de s\u00e9curit\u00e9 est solide, l&rsquo;organisation est certifi\u00e9e depuis des ann\u00e9es, l&rsquo;appel d&rsquo;offres arrive quand m\u00eame avec une exigence TGV que rien dans le dossier HITRUST ne couvrait au d\u00e9part. Comprendre o\u00f9 se situent r\u00e9ellement les 101 correspondances, et surtout o\u00f9 elles s&rsquo;arr\u00eatent, \u00e9vite de d\u00e9couvrir l&rsquo;\u00e9cart en pleine v\u00e9rification.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#qu-est-ce-qu-une-correspondance-entre-hitrust-et-la-tgv\">Qu&rsquo;est-ce qu&rsquo;une correspondance entre HITRUST et la TGV ?<\/a><\/li><li class=\"\"><a href=\"#hitrust-vs-tgv-comment-se-classe-hitrust-csf-v11-parmi-les-referentiels-analyses\">HITRUST vs TGV : comment se classe HITRUST CSF v11 parmi les r\u00e9f\u00e9rentiels analys\u00e9s ?<\/a><\/li><li class=\"\"><a href=\"#pourquoi-un-referentiel-de-sante-obtient-il-le-score-le-plus-bas\">Pourquoi un r\u00e9f\u00e9rentiel de sant\u00e9 obtient-il le score le plus bas ?<\/a><\/li><li class=\"\"><a href=\"#que-signifient-101-correspondances-pour-votre-dossier-de-certification\">Que signifient 101 correspondances pour votre dossier de certification ?<\/a><\/li><li class=\"\"><a href=\"#faut-il-abandonner-hitrust-si-vous-visez-la-certification-tgv\">Faut-il abandonner HITRUST si vous visez la certification TGV ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer-si-vous-detenez-deja-hitrust-csf-v11\">Par o\u00f9 commencer si vous d\u00e9tenez d\u00e9j\u00e0 HITRUST CSF v11 ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"qu-est-ce-qu-une-correspondance-entre-hitrust-et-la-tgv\" class=\"wp-block-heading\">Qu&rsquo;est-ce qu&rsquo;une correspondance entre HITRUST et la TGV ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Une correspondance, dans notre analyse, est un lien document\u00e9 entre un crit\u00e8re de la TGV et un contr\u00f4le ou une exigence d&rsquo;un r\u00e9f\u00e9rentiel externe qui couvre le m\u00eame sujet. La TGV, ou Trousse globale de v\u00e9rification, est la grille de certification du minist\u00e8re de la Sant\u00e9 et des Services sociaux (MSSS) du Qu\u00e9bec. Elle compte 382 crit\u00e8res r\u00e9partis en 7 familles : s\u00e9curit\u00e9, protection des renseignements personnels, intelligence artificielle, interop\u00e9rabilit\u00e9, technique, performance et gouvernance.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous avons cartographi\u00e9 la grille TGV contre 13 r\u00e9f\u00e9rentiels reconnus internationalement et au Canada, pour un total de 1302 correspondances recens\u00e9es. Le d\u00e9tail complet est dans notre pilier <a href=\"https:\/\/factero.ca\/blog\/tgv-13-referentiels-1302-correspondances\/\">La TGV face \u00e0 13 r\u00e9f\u00e9rentiels : 1302 correspondances analys\u00e9es<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Une correspondance n&rsquo;est pas une \u00e9quivalence. Sur les 1302 correspondances relev\u00e9es, 72 seulement sont qualifi\u00e9es d&rsquo;\u00e9quivalences strictes : le contr\u00f4le externe satisfait le crit\u00e8re TGV tel quel, sans preuve additionnelle ni adaptation. Toutes les autres correspondances sont partielles : le sujet se recoupe, mais la port\u00e9e, la profondeur ou un \u00e9l\u00e9ment propre au Qu\u00e9bec n&rsquo;y est pas couvert.<\/p>\n\n<h2 id=\"hitrust-vs-tgv-comment-se-classe-hitrust-csf-v11-parmi-les-referentiels-analyses\" class=\"wp-block-heading\">HITRUST vs TGV : comment se classe HITRUST CSF v11 parmi les r\u00e9f\u00e9rentiels analys\u00e9s ?<\/h2>\n\n<p class=\"wp-block-paragraph\">HITRUST CSF v11 (Common Security Framework, le r\u00e9f\u00e9rentiel priv\u00e9 port\u00e9 par la HITRUST Alliance, largement adopt\u00e9 par les \u00e9diteurs de technologies de sant\u00e9 am\u00e9ricains) obtient 101 correspondances avec la grille TGV. <strong>C&rsquo;est le score le plus bas des six r\u00e9f\u00e9rentiels suivants.<\/strong><\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>R\u00e9f\u00e9rentiel<\/th><th>Correspondances avec la grille TGV (382 crit\u00e8res)<\/th><\/tr><\/thead><tbody><tr><td>SOC 2<\/td><td>220<\/td><\/tr><tr><td>NIST SP 800-66 r2<\/td><td>149<\/td><\/tr><tr><td>ISO\/IEC 27001<\/td><td>135<\/td><\/tr><tr><td>BSI C5<\/td><td>113<\/td><\/tr><tr><td>RGPD<\/td><td>110<\/td><\/tr><tr><td>HITRUST CSF v11<\/td><td>101<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">SOC 2 (le rapport d&rsquo;audit am\u00e9ricain sur les contr\u00f4les internes, publi\u00e9 selon le cadre de l&rsquo;AICPA) recoupe plus du double de crit\u00e8res que HITRUST. Nous d\u00e9taillons ce r\u00e9f\u00e9rentiel dans <a href=\"https:\/\/factero.ca\/blog\/tgv-vs-soc-2\/\">SOC 2 et TGV : 220 correspondances, mais pas de raccourci<\/a>. NIST SP 800-66 r2 (le guide de s\u00e9curit\u00e9 des donn\u00e9es de sant\u00e9 publi\u00e9 par le National Institute of Standards and Technology, en appui \u00e0 la loi am\u00e9ricaine HIPAA) suit avec 149 correspondances.<\/p>\n\n<p class=\"wp-block-paragraph\">Viennent ensuite ISO\/IEC 27001 avec 135, BSI C5 (le catalogue de crit\u00e8res pour l&rsquo;infonuagique publi\u00e9 par l&rsquo;organisme allemand de s\u00e9curit\u00e9 informatique) avec 113, puis le RGPD (le r\u00e8glement europ\u00e9en sur la protection des donn\u00e9es) avec 110. Le classement HITRUST vs TGV place ce r\u00e9f\u00e9rentiel au dernier rang des six, loin derri\u00e8re SOC 2.<\/p>\n\n<p class=\"wp-block-paragraph\">Le score de HITRUST surprend souvent les \u00e9diteurs am\u00e9ricains qui l&rsquo;ont adopt\u00e9 justement parce qu&rsquo;il vise la sant\u00e9. Ce rang n&rsquo;est pas un jugement sur sa rigueur. C&rsquo;est une mesure de son chevauchement avec une grille con\u00e7ue pour un contexte diff\u00e9rent.<\/p>\n\n<p class=\"wp-block-paragraph\">La m\u00e9thode derri\u00e8re ces chiffres est la m\u00eame pour les six r\u00e9f\u00e9rentiels : chaque crit\u00e8re de la TGV a \u00e9t\u00e9 compar\u00e9, un par un, aux contr\u00f4les publi\u00e9s du r\u00e9f\u00e9rentiel externe, et une correspondance n&rsquo;a \u00e9t\u00e9 retenue que lorsque le sujet couvert \u00e9tait r\u00e9ellement le m\u00eame. Un score plus \u00e9lev\u00e9 ne signifie pas qu&rsquo;un r\u00e9f\u00e9rentiel est mieux construit que HITRUST, seulement qu&rsquo;il partage davantage de terrain avec les pr\u00e9occupations sp\u00e9cifiques de la grille qu\u00e9b\u00e9coise, \u00e0 commencer par la protection des renseignements personnels et, depuis 2026, la gouvernance de l&rsquo;intelligence artificielle.<\/p>\n\n<h2 id=\"pourquoi-un-referentiel-de-sante-obtient-il-le-score-le-plus-bas\" class=\"wp-block-heading\">Pourquoi un r\u00e9f\u00e9rentiel de sant\u00e9 obtient-il le score le plus bas ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le paradoxe HITRUST vs TGV s&rsquo;explique en regardant ce que chaque r\u00e9f\u00e9rentiel a \u00e9t\u00e9 con\u00e7u pour couvrir. HITRUST CSF v11 encadre la s\u00e9curit\u00e9 et la vie priv\u00e9e selon les r\u00e8gles am\u00e9ricaines de la sant\u00e9, construites autour de HIPAA. La TGV encadre un march\u00e9 qu\u00e9b\u00e9cois, avec ses propres exigences.<\/p>\n\n<p class=\"wp-block-paragraph\">Trois familles de la grille expliquent l&rsquo;essentiel de l&rsquo;\u00e9cart :<\/p>\n\n<ul class=\"wp-block-list\"><li>Protection des renseignements personnels : s&rsquo;appuie sur la <a href=\"https:\/\/www.legisquebec.gouv.qc.ca\/fr\/document\/lc\/p-39.1\" target=\"_blank\" rel=\"noopener nofollow\">Loi sur la protection des renseignements personnels dans le secteur priv\u00e9<\/a> (Loi 25, RLRQ c. P-39.1), un r\u00e9gime distinct du droit am\u00e9ricain et du RGPD europ\u00e9en.<\/li><li>Intelligence artificielle : compte 69 crit\u00e8res sur la gouvernance des syst\u00e8mes d&rsquo;IA et la transparence des d\u00e9cisions automatis\u00e9es, une famille enti\u00e8rement nouvelle en 2026 que peu de r\u00e9f\u00e9rentiels de s\u00e9curit\u00e9 couvrent avec cette pr\u00e9cision, HITRUST inclus.<\/li><li>Gouvernance : m\u00eame r\u00e9duite \u00e0 deux crit\u00e8res, elle en \u00e9carte d&rsquo;un coup, une interface en fran\u00e7ais est obligatoire pour les utilisateurs et le produit ne peut afficher de publicit\u00e9. HITRUST ne pr\u00e9voit rien de tel, pour la bonne raison qu&rsquo;il n&rsquo;a jamais eu \u00e0 le pr\u00e9voir.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Le RGPD, pourtant un texte \u00e9tranger lui aussi, s&rsquo;en tire mieux que HITRUST : 110 correspondances contre 101. La protection des renseignements personnels y occupe une place centrale, avec des m\u00e9canismes qui se rapprochent structurellement de la Loi 25. HITRUST couvre la s\u00e9curit\u00e9 de l&rsquo;information en profondeur, mais la vie priv\u00e9e y reste secondaire.<\/p>\n\n<h2 id=\"que-signifient-101-correspondances-pour-votre-dossier-de-certification\" class=\"wp-block-heading\">Que signifient 101 correspondances pour votre dossier de certification ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le score HITRUST vs TGV ne s&rsquo;arr\u00eate pas au chiffre brut. Un chiffre de 101 sur 382 se lit de deux fa\u00e7ons. La premi\u00e8re, optimiste : plus du quart de la grille est d\u00e9j\u00e0 couvert par une d\u00e9marche que vous avez faite. La seconde, plus proche de la r\u00e9alit\u00e9 d&rsquo;un dossier : moins de 101 crit\u00e8res sont r\u00e9ellement acquis sans travail additionnel, parce que la majorit\u00e9 des 101 correspondances sont partielles, pas strictes.<\/p>\n\n<p class=\"wp-block-paragraph\">Concr\u00e8tement, une correspondance partielle signifie que votre documentation HITRUST existante sert de point de d\u00e9part, pas de preuve finale. Un contr\u00f4le HITRUST sur le chiffrement des donn\u00e9es, par exemple, peut couvrir le principe technique exig\u00e9 par un crit\u00e8re TGV sans couvrir les modalit\u00e9s pr\u00e9cises que le Bureau de certification de Sant\u00e9 Qu\u00e9bec attend en preuve : politique \u00e9crite, registre, proc\u00e9dure de test document\u00e9e.<\/p>\n\n<p class=\"wp-block-paragraph\">Les \u00e9diteurs qui d\u00e9tiennent d\u00e9j\u00e0 une conformit\u00e9 HIPAA vivent un \u00e9cart comparable. Nous l&rsquo;avons document\u00e9 pour NIST SP 800-66 r2 dans <a href=\"https:\/\/factero.ca\/blog\/hipaa-vs-tgv-quebec\/\">Conforme HIPAA ? Ce qu&rsquo;il reste \u00e0 faire pour la TGV du MSSS<\/a>, un r\u00e9f\u00e9rentiel qui obtient pourtant 149 correspondances, presque 50 % de plus que HITRUST. Le constat est le m\u00eame dans les deux cas : une conformit\u00e9 am\u00e9ricaine r\u00e9elle et s\u00e9rieuse ne se traduit pas en \u00e9quivalence automatique au Qu\u00e9bec.<\/p>\n\n<h2 id=\"faut-il-abandonner-hitrust-si-vous-visez-la-certification-tgv\" class=\"wp-block-heading\">Faut-il abandonner HITRUST si vous visez la certification TGV ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non. Les 101 correspondances ne sont pas nulles, elles sont un point de d\u00e9part document\u00e9 plut\u00f4t qu&rsquo;un dossier complet.<\/strong> Une entreprise qui a investi dans HITRUST CSF v11 a d\u00e9j\u00e0 b\u00e2ti des politiques, des preuves et des processus de gestion de la s\u00e9curit\u00e9 que la TGV reconna\u00eet, en partie.<\/p>\n\n<p class=\"wp-block-paragraph\">Le travail qui reste se concentre \u00e0 trois endroits :<\/p>\n\n<ul class=\"wp-block-list\"><li>Les 281 crit\u00e8res sans aucune correspondance HITRUST, o\u00f9 il n&rsquo;y a rien \u00e0 r\u00e9utiliser et tout \u00e0 documenter.<\/li><li>Les correspondances partielles parmi les 101, o\u00f9 l&rsquo;\u00e9cart entre ce que HITRUST exige et ce que la TGV exige doit \u00eatre combl\u00e9 preuve par preuve.<\/li><li>Les crit\u00e8res propres au Qu\u00e9bec, Loi 25 et interface en fran\u00e7ais en t\u00eate, qui n&rsquo;ont d&rsquo;\u00e9quivalent dans aucun r\u00e9f\u00e9rentiel am\u00e9ricain, HITRUST compris.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Personne ne peut garantir qu&rsquo;une certification HITRUST acc\u00e9l\u00e8re un dossier TGV d&rsquo;un nombre de mois pr\u00e9cis. C&rsquo;est une obligation de moyens, comme pour toute d\u00e9marche de certification : la d\u00e9cision finale appartient au Bureau de certification de Sant\u00e9 Qu\u00e9bec, jamais \u00e0 un consultant ni \u00e0 un fournisseur de r\u00e9f\u00e9rentiel.<\/p>\n\n<h2 id=\"par-ou-commencer-si-vous-detenez-deja-hitrust-csf-v11\" class=\"wp-block-heading\">Par o\u00f9 commencer si vous d\u00e9tenez d\u00e9j\u00e0 HITRUST CSF v11 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois gestes concrets, dans l&rsquo;ordre.<\/p>\n\n<ol class=\"wp-block-list\"><li>R\u00e9cup\u00e9rez votre dossier de certification HITRUST CSF v11 en entier : politiques, preuves, rapports de tests. C&rsquo;est votre inventaire de d\u00e9part, pas votre dossier TGV.<\/li><li>Passez la grille TGV en revue, famille par famille, et notez pour chacun des 382 crit\u00e8res s&rsquo;il est d\u00e9j\u00e0 couvert par une preuve HITRUST, partiellement couvert, ou enti\u00e8rement \u00e0 documenter. Les familles protection des renseignements personnels et intelligence artificielle m\u00e9ritent une attention particuli\u00e8re : c&rsquo;est l\u00e0 que l&rsquo;\u00e9cart est le plus large.<\/li><li>Priorisez selon votre \u00e9ch\u00e9ance r\u00e9elle. Si un appel d&rsquo;offres du r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois est d\u00e9j\u00e0 sur la table, la date de cl\u00f4ture d\u00e9cide de l&rsquo;ordre des travaux, pas l&rsquo;ordre logique de la grille.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Le chemin HITRUST vs TGV n&rsquo;a rien d&rsquo;automatique. Nous accompagnons des \u00e9diteurs am\u00e9ricains et canadiens qui partent d&rsquo;une certification existante, HITRUST ou autre, vers un dossier TGV. Notre r\u00f4le reste celui du guide local : cartographier l&rsquo;\u00e9cart r\u00e9el entre ce que vous avez et ce que le Bureau de certification exige, sans promettre un r\u00e9sultat que personne ne contr\u00f4le. Un <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">appel exploratoire pour l&rsquo;accompagnement \u00e0 la certification TGV<\/a> suffit pour situer votre dossier sur cette base.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">convertir HITRUST en dossier de certification TGV<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>HITRUST et HIPAA, est-ce la m\u00eame certification ?<\/summary><p class=\"wp-block-paragraph\">Non. HIPAA est une loi f\u00e9d\u00e9rale am\u00e9ricaine sur la protection des donn\u00e9es de sant\u00e9, sans certification propre. HITRUST CSF v11 est un r\u00e9f\u00e9rentiel priv\u00e9 construit autour de ses exigences, avec un audit et une certification v\u00e9rifiables par un tiers. D\u00e9tenir HITRUST aide \u00e0 d\u00e9montrer une conformit\u00e9 HIPAA. Ce n&rsquo;est pas la m\u00eame d\u00e9marche, et ni l&rsquo;une ni l&rsquo;autre ne couvre les exigences qu\u00e9b\u00e9coises de la TGV.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>SOC 2 remplace-t-il HITRUST pour un dossier TGV ?<\/summary><p class=\"wp-block-paragraph\">Non, et rien ne remplace HITRUST non plus. SOC 2 obtient le score le plus \u00e9lev\u00e9 des six r\u00e9f\u00e9rentiels compar\u00e9s par Factero, 220 correspondances sur 382 crit\u00e8res, contre 101 pour HITRUST. Mais sur les 1302 correspondances relev\u00e9es au total, 72 seulement sont des \u00e9quivalences strictes. La d\u00e9cision de certification reste enti\u00e8rement celle du Bureau de certification de Sant\u00e9 Qu\u00e9bec.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps faut-il pour passer de HITRUST \u00e0 une certification TGV compl\u00e8te ?<\/summary><p class=\"wp-block-paragraph\">Aucun d\u00e9lai fixe n&rsquo;existe. La dur\u00e9e d\u00e9pend du nombre de crit\u00e8res d\u00e9j\u00e0 couverts par votre dossier HITRUST, de la profondeur r\u00e9elle des 101 correspondances identifi\u00e9es, et du rythme de traitement du Bureau de certification de Sant\u00e9 Qu\u00e9bec. C&rsquo;est une obligation de moyens : personne, ni consultant ni fournisseur de r\u00e9f\u00e9rentiel, ne peut garantir un d\u00e9lai pr\u00e9cis.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le score de 101 correspondances signifie-t-il que HITRUST est un r\u00e9f\u00e9rentiel de moins bonne qualit\u00e9 ?<\/summary><p class=\"wp-block-paragraph\">Non. Le classement mesure le chevauchement avec la grille TGV, pas la rigueur du r\u00e9f\u00e9rentiel. HITRUST CSF v11 encadre la s\u00e9curit\u00e9 de l&rsquo;information en profondeur, il couvre simplement moins de sujets propres au Qu\u00e9bec, la Loi 25 et l&rsquo;interface en fran\u00e7ais en t\u00eate, que des r\u00e9f\u00e9rentiels comme SOC 2 ou le RGPD.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/hitrustalliance.net\/\" target=\"_blank\" rel=\"noopener nofollow\">HITRUST CSF v11 (HITRUST Alliance)<\/a><\/li><li><a href=\"https:\/\/msss.gouv.qc.ca\/professionnels\/technologies-information\/certification-produits-et-services-technologiques\/\" target=\"_blank\" rel=\"noopener nofollow\">Certification des solutions num\u00e9riques \u2014 Sant\u00e9 Qu\u00e9bec \/ MSSS<\/a><\/li><li><a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">Orientation \u2014 Certification TGV (MSSS, publication 24-715-38W)<\/a><\/li><li><a href=\"https:\/\/www.bsi.bund.de\/EN\/Themen\/Unternehmen-und-Organisationen\/Informationen-und-Empfehlungen\/Empfehlungen-nach-Angriffszielen\/Cloud-Computing\/Kriterienkatalog-C5\/kriterienkatalog-c5_node.html\" target=\"_blank\" rel=\"noopener nofollow\">Cloud Computing Compliance Criteria Catalogue C5:2020 (BSI)<\/a><\/li><li><a href=\"https:\/\/www.iso.org\/standard\/82875.html\" target=\"_blank\" rel=\"noopener nofollow\">ISO\/IEC 27001:2022 (ISO)<\/a><\/li><li><a href=\"https:\/\/www.legisquebec.gouv.qc.ca\/fr\/document\/lc\/p-39.1\" target=\"_blank\" rel=\"noopener nofollow\">Loi sur la protection des renseignements personnels dans le secteur priv\u00e9 (RLRQ c. P-39.1)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"HITRUST et HIPAA, est-ce la m\u00eame certification ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. HIPAA est une loi f\u00e9d\u00e9rale am\u00e9ricaine sur la protection des donn\u00e9es de sant\u00e9, sans certification propre. HITRUST CSF v11 est un r\u00e9f\u00e9rentiel priv\u00e9 construit autour de ses exigences, avec un audit et une certification v\u00e9rifiables par un tiers. D\u00e9tenir HITRUST aide \u00e0 d\u00e9montrer une conformit\u00e9 HIPAA. Ce n\\u0027est pas la m\u00eame d\u00e9marche, et ni l\\u0027une ni l\\u0027autre ne couvre les exigences qu\u00e9b\u00e9coises de la TGV.\"}},{\"@type\":\"Question\",\"name\":\"SOC 2 remplace-t-il HITRUST pour un dossier TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, et rien ne remplace HITRUST non plus. SOC 2 obtient le score le plus \u00e9lev\u00e9 des six r\u00e9f\u00e9rentiels compar\u00e9s par Factero, 220 correspondances sur 382 crit\u00e8res, contre 101 pour HITRUST. Mais sur les 1302 correspondances relev\u00e9es au total, 72 seulement sont des \u00e9quivalences strictes. La d\u00e9cision de certification reste enti\u00e8rement celle du Bureau de certification de Sant\u00e9 Qu\u00e9bec.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps faut-il pour passer de HITRUST \u00e0 une certification TGV compl\u00e8te ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Aucun d\u00e9lai fixe n\\u0027existe. La dur\u00e9e d\u00e9pend du nombre de crit\u00e8res d\u00e9j\u00e0 couverts par votre dossier HITRUST, de la profondeur r\u00e9elle des 101 correspondances identifi\u00e9es, et du rythme de traitement du Bureau de certification de Sant\u00e9 Qu\u00e9bec. C\\u0027est une obligation de moyens : personne, ni consultant ni fournisseur de r\u00e9f\u00e9rentiel, ne peut garantir un d\u00e9lai pr\u00e9cis.\"}},{\"@type\":\"Question\",\"name\":\"Le score de 101 correspondances signifie-t-il que HITRUST est un r\u00e9f\u00e9rentiel de moins bonne qualit\u00e9 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Le classement mesure le chevauchement avec la grille TGV, pas la rigueur du r\u00e9f\u00e9rentiel. HITRUST CSF v11 encadre la s\u00e9curit\u00e9 de l\\u0027information en profondeur, il couvre simplement moins de sujets propres au Qu\u00e9bec, la Loi 25 et l\\u0027interface en fran\u00e7ais en t\u00eate, que des r\u00e9f\u00e9rentiels comme SOC 2 ou le RGPD.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>HITRUST vs TGV : seulement 101 correspondances sur 382 crit\u00e8res, le score le plus bas de six r\u00e9f\u00e9rentiels compar\u00e9s. Pourquoi, et comment combler l&rsquo;\u00e9cart.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"single-tgv","format":"standard","meta":{"footnotes":""},"categories":[15],"tags":[40,956,954,952,50,48],"class_list":["post-857","post","type-post","status-publish","format-standard","hentry","category-tgv","tag-certification-tgv","tag-hitrust-certification-sante-canada","tag-hitrust-csf-quebec","tag-hitrust-vs-tgv","tag-sante-quebec","tag-tgv"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/857","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=857"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/857\/revisions"}],"predecessor-version":[{"id":1350,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/857\/revisions\/1350"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=857"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=857"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=857"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}