TGV : les leçons du groupe Performance

Les fournisseurs qui préparent une certification TGV concentrent leur énergie sur les volets sécurité et protection des renseignements personnels, et abordent le groupe Performance en dernier, souvent la semaine du dépôt. C'est le groupe le plus court de la trousse et celui où nous voyons le plus de réponses renvoyées pour la même raison : une affirmation à la place d'une mesure.

Ce que disent les sources

Le document Certification, Trousse globale de vérification (TGV), publié par le ministère de la Santé et des Services sociaux du Québec en 2024 (publication 24-715-38W), définit la certification comme une attestation de la conformité d'une version d'un produit ou service technologique (PST) aux exigences du secteur sociosanitaire en matière de sécurité, de protection des renseignements personnels, de performance et de technologie. Elle est réalisée par le Bureau de certification et d'homologation (BCH) avec des partenaires externes, et un test d'intrusion est obligatoire depuis janvier 2022.

Le même document décrit ce que le BCH attend avant même le dépôt : pour chaque critère qui s'applique, le fournisseur doit être en mesure de fournir une preuve documentaire (documents, captures d'écran, copies de contrats). Une fois la certification obtenue, le contrat a une durée de trois ans, renouvelable annuellement sous conditions : autodéclaration annuelle, au moins un test d'intrusion par année auprès d'une firme reconnue par le BCH, correctifs dans un délai maximal de quinze jours ouvrables après réception du rapport de test, déclaration de tout changement majeur au moins vingt jours ouvrables avant sa mise en production, et exercice de relève informatique tous les deux ans. Un refus peut être suivi d'une nouvelle demande, aux frais du fournisseur, après une période minimale de trois mois.

La page des orientations et documents du gouvernement du Québec réunit la grille des critères de vérification, la clause type pour les appels d'offres, les formulaires de demande et de renouvellement, et les orientations sur les tests d'intrusion, l'infonuagique et l'authentification multifacteur. Notre guide des contrôles TGV reprend les sept critères du groupe Performance, PF01 à PF07, un par page.

Pourquoi ça compte

Le groupe Performance demande sept documents : les caractéristiques techniques minimales par palier d'utilisateurs (PF01), la latence maximale tolérée (PF02), la bande passante minimale (PF03), la part du trafic induite sur le lien d'un point de service (PF04), les temps de réponse dans les meilleures et les pires conditions (PF05), la gestion des paquets perdus, réordonnés ou périmés (PF06) et les délais de rétention et de reprise de connexion (PF07).

Ces sept critères ont une chose en commun : ils décrivent le comportement du produit sur un réseau réel, celui des établissements en région, des liens partagés entre plusieurs applications cliniques et des tablettes qui basculent du Wi-Fi au cellulaire. Un vérificateur ne peut pas accepter « l'application est rapide » ; il doit pouvoir lire un seuil, une méthode et une date.

Trois leçons reviennent dans les dossiers que nous accompagnons.

La preuve est une mesure, pas une phrase. Le rapport de test de charge de PF01, le rapport de test de latence de PF02, la mesure de consommation de PF03 : le vérificateur demande la méthodologie et les conditions du test. Une fiche technique sans rapport derrière est une estimation.

Les sept chiffres doivent se tenir. Le seuil de latence de PF02 doit être cohérent avec les pires conditions de PF05 ; la bande passante de PF03 avec le calcul de part de trafic de PF04 ; le taux de perte toléré de PF06 avec le délai de reprise de PF07. Une incohérence entre deux fiches est la première chose que le vérificateur relève.

Le document doit avoir l'âge de la version. Le BCH certifie une version. Une fiche de performance datée d'une version antérieure, sans mention d'un changement majeur, invalide la preuve.

Ce que nous en pensons chez Sentrix

Le groupe Performance est le plus facile à réussir du premier coup, à condition de le traiter comme une campagne de mesure et non comme une rédaction.

1. Planifier une campagne de tests unique qui produit les sept mesures : charge par palier d'utilisateurs, latence simulée croissante, consommation par utilisateur et par site, taux de perte de paquets simulé, coupure pendant une transaction active.
2. Documenter la méthode avant le résultat : outil, conditions, version testée, date. C'est ce que le vérificateur lit en premier.
3. Tenir un tableau de cohérence des sept seuils, revu par une seule personne, pour que PF02, PF05, PF06 et PF07 racontent la même histoire.
4. Lier chaque fiche à la version du PST et l'inscrire au registre des changements que le fournisseur s'engage à tenir après la certification.
5. Réutiliser la campagne au renouvellement annuel : le fournisseur qui a automatisé ses tests de performance répond à l'autodéclaration en une journée.
6. Faire relire les fiches par l'équipe réseau d'un établissement partenaire quand c'est possible : elle repère les hypothèses irréalistes sur la taille de lien avant le vérificateur.

Pour les fournisseurs déjà certifiés ISO 27001, cette campagne s'inscrit dans les contrôles 8.6 (gestion de la capacité) et 8.14 (redondance des moyens de traitement). Notre service d'accompagnement TGV structure le dossier de preuves contrôle par contrôle ; la fiche du référentiel TGV résume le cadre.

La prochaine étape

Avant de demander la certification, ouvrez les sept fiches de performance de votre produit et posez une question par fiche : quelle mesure la soutient, et de quand date-t-elle. Si deux fiches n'ont pas de réponse, la campagne de tests est la première tâche du calendrier, pas la dernière.