TGV, groupe Sécurité : les 112 critères expliqués

Ce que couvre le groupe

Dans la grille officielle de la Trousse globale de vérification (TGV), version du 24 avril 2026, le groupe Sécurité vérifie la sécurité de l'information autour de votre produit ou service technologique (PST). C'est le plus gros groupe : 112 des 382 critères, de S01.01 à S16.04, en 16 catégories proches des domaines de l'annexe A d'ISO 27001 dans sa version 2013, sans que la grille en fasse une équivalence. La plupart visent tout PST ; certains ne jouent que dans des cas précis, comme une application qui utilise le courriel (S11.04). Les critères sont paraphrasés ; les preuves suggérées et les conseils sont l'interprétation de Sentrix.

Les catégories une à une

Gestion des risques et politique de sécurité

Les risques sont évalués à la conception, avant la mise en production, puis périodiquement et à chaque changement majeur, avec l'aval de la direction. La politique fixe les objectifs, les rôles et les dérogations ; elle est approuvée, communiquée et versionnée. S02.04 ajoute une directive sur les courriels malicieux et les virus, avec un renvoi à « SCT (13/15 mesures) ».

Organisation et ressources humaines

Les responsabilités de sécurité sont définies, chaque actif a un responsable et les tâches incompatibles sont cernées. La gestion de projet intègre la sécurité, et les risques mobiles et du télétravail sont couverts. Côté RH : compétences vérifiées, sensibilisation de tout le personnel, direction comprise, sanctions prévues et obligations rappelées au départ.

Gestion des actifs

Les conditions d'utilisation sont acceptées à la première utilisation et doivent pouvoir intégrer la responsabilité de l'utilisateur envers les renseignements personnels de santé (S05.02). Les actifs sont inventoriés, ont un responsable et sont classifiés en disponibilité, intégrité et confidentialité. Restent la restitution des actifs, les supports amovibles et la mise au rebut.

Contrôle des accès

Avec 26 critères, c'est la plus grosse catégorie : politique d'accès, profils, comptes à privilèges et revue des accès. S06.06 rend l'AMF obligatoire, en interne et en externe pour les employés et les comptes à hauts privilèges, et avec une analyse du comportement (UBA, UEBA) pour les usagers et citoyens. La grille attend aussi des protocoles modernes (LDAPS, SAML, OpenID), aucun mot de passe en clair ou dans le code, la désactivation d'un identifiant après au plus 5 tentatives échouées (S06.16) et une déconnexion automatique. Les comptes des intervenants viennent de l'annuaire centralisé de Santé Québec (S06.24), et S06.26 renvoie à la loi 5 et à la Loi 25.

Cryptographie et sécurité physique

Les données sensibles sont chiffrées au repos et en transit, les échanges entre composantes sont aussi authentifiés, et les clés sont gérées sur tout leur cycle de vie (S08.01). Côté physique : locaux protégés, matériel entretenu, bureau propre et écran vide, contrats de service à l'appui.

Sécurité liée à l'exploitation

La grille veut des procédures d'exploitation et des guides d'utilisation, d'installation et d'entretien. Les sauvegardes sont à l'abri des rançongiciels et permettent une récupération complète ou partielle. S'ajoutent la gestion des changements, un numéro de version visible, la gestion des vulnérabilités et des correctifs, une attestation d'absence de porte dérobée et un antivirus avec EDR. S10.03 demande d'utiliser les outils de Santé Québec : protocoles, réseau RGT et portail provincial GIA.

Journalisation et surveillance

Toute activité, même celle d'un pilote ou d'un administrateur, doit pouvoir être journalisée : qui, quand, quoi, sur quelles informations. Les journaux s'analysent et s'exportent dans un format standard, et un rôle d'auditeur consulte les rapports. L'application alerte les pilotes (S10.06), l'environnement détecte les intrusions, et les journaux sont protégés et conservés selon les lois et normes en vigueur.

Sécurité des communications

Toutes les communications, soutien à distance compris, sont protégées, par exemple par un chiffrement de bout en bout, et l'environnement est cloisonné (accès public, zone serveur). Le courriel ne transporte rien de confidentiel sans protection, la connectivité passe par le réseau RGT ou des liens chiffrés, et S11.05 demande des simulations d'hameçonnage continues.

Acquisition, développement et maintenance

La sécurité entre à chaque étape du développement, selon un référentiel comme ceux de l'OWASP. Les environnements de développement, de test et d'exploitation sont distincts, sans données confidentielles de production en développement ; le développement externe est supervisé et les composantes tierces sont suivies. S12.01 exige une formation continue sur 4 thèmes : appareils mobiles, hameçonnage, virus et rançongiciels, ingénierie sociale.

Relation avec les fournisseurs

Vous listez vos fournisseurs et, pour chacun, menez les évaluations des menaces et des risques et des facteurs relatifs à la vie privée nécessaires, fixez des exigences, signez une entente et suivez sa conformité et sa performance. S14.02 renvoie à « l'exigence 05 des 12 exigences minimales » pour la localisation du PST, avec un simple lien vers un document du MSSS sur la protection des données au repos.

Gestion des incidents liés à la sécurité

Votre gestion des incidents est arrimée à celle de vos clients, avisés dans les meilleurs délais selon un processus établi. La surveillance suit la sensibilité de la solution. Si sa disponibilité est classée de modérée à très élevée, S15.03 demande un plan de reprise après sinistre ou un arrimage avec les mécanismes du Secrétariat du Conseil du trésor.

Continuité de l'activité et gestion de la conformité

Un plan de continuité et un plan de recouvrement après sinistre existent, et ce dernier est testé périodiquement. Une stratégie valide la conformité technique des composantes. S16.03 exige un test d'intrusion par un prestataire indépendant et reconnu par Santé Québec, et S16.04 la garantie de vos droits sur le code en vertu de la loi sur le droit d'auteur, ou ses limites, comme le type de licence.

Les preuves à préparer

• Évaluation des risques, plan de traitement et approbations de la direction.
• Politique de sécurité, preuve d'approbation, historique des versions et directive d'incident.
• Description des rôles de sécurité, tâches incompatibles et politique de télétravail.
• Programme de sensibilisation, plan de formation et bilan des simulations d'hameçonnage.
• Conditions d'utilisation avec captures d'écran, inventaire et classification des actifs.
• Politique d'accès, liste des profils, liste des comptes à privilèges élevés et demandes d'exception.
• Documentation du chiffrement et du cycle de vie des clés.
• Guides, processus de changement, plan de gestion des vulnérabilités et attestation d'absence de porte dérobée.
• Liste des journaux, protections et calendrier de conservation.
• Liste des fournisseurs, ententes et évaluations faites pour chacun.
• Processus d'incident, clauses d'avis, plans de continuité et de recouvrement, résultat des tests.
• Rapport du test d'intrusion, plan d'action et déclaration de garantie sur le code.

Points d'attention

• La numérotation ne suit pas les catégories : S08.01 relève de la cryptographie, S09.01 de la sécurité physique, S10.01 à S10.03 de l'exploitation. Classez vos preuves par numéro de critère.
• Certains critères sont conditionnels : S06.09 si l'application gère les mots de passe, S06.21 (CAPTCHA) facultatif si l'AMF est implantée, S11.04 si l'application utilise le courriel.
• Des mots de passe dans le code ou les scripts (S06.11) ou des comptes génériques (S06.18) exigent une demande d'exception à Santé Québec.
• Renvois à surveiller : S06.24 cite la directive GIA SanteQc-DIR-012, notée « pas encore publié », et S06.16 renvoie à S10.03 pour une alerte, alors que les alertes de l'application sont en S10.06.
• Après la certification, l'autodéclaration annuelle demande au moins 1 test d'intrusion dans la dernière année et des vulnérabilités corrigées ou atténuées dans les 15 jours du rapport.

Besoin d'aide avec ce groupe ?

Sentrix aide les fournisseurs de PST à préparer ce groupe, de la lecture des critères à l'inventaire des preuves ; la certification relève du Bureau de certification de Santé Québec. Consultez notre service d'accompagnement à la certification TGV ou prenez rendez-vous.

Suite du guide

Retour au guide complet de la TGV · Fiche du référentiel TGV