Groupe Technologie de la TGV : les 26 critères expliqués

Ce que couvre le groupe

Le groupe Technologie de la Trousse globale de vérification (TGV) vérifie les choix techniques d'un produit ou service technologique (PST) : architecture, hébergement, intégration aux annuaires d'identité de Santé Québec, mode d'accès, exploitation, sauvegarde et reprise. Il compte 26 critères, numérotés T01 à T26, dans une seule catégorie, Technologie, sur les 382 critères et 7 groupes de la grille. Certains critères ne visent que les PST arrimés aux actifs informationnels d'intérêt commun, les applications Web ou les PST client-serveur ; d'autres modulent l'exigence selon la classification de la solution. Les critères et leurs consignes viennent de la grille officielle, version du 24 avril 2026 ; les regroupements par thème, les conseils et les preuves suggérées sont l'interprétation de Sentrix.

Les catégories une à une

La grille ne subdivise pas le groupe. Pour faciliter la lecture, nous regroupons ses 26 critères par thème : ces thèmes sont un regroupement de lecture de Sentrix, pas des catégories officielles.

Architecture et classification (T04, T18)

T04 demande de décrire l'architecture technologique qui supporte l'installation et l'utilisation du PST ; la consigne renvoie à la page du courtier infonuagique du gouvernement du Québec. T18 exige que l'architecture détaillée réponde à la classification de la solution : « Si la disponibilité est modérée, veillez à ce que l'architecture technologique soit en redondance, afin de répondre à un RTO de 4 h. »

Hébergement infonuagique (T10, T16, T17, T24)

T10 demande de démontrer que le PST peut fonctionner adéquatement dans une infrastructure virtualisée et infonuagique, de préférence en mode SaaS ; T16 demande de privilégier le SaaS et T24 place l'hébergement infonuagique en priorité. T17 précise le lieu : les espaces de Santé Québec ou un espace infonuagique approuvé par le MCN (ministère de la Cybersécurité et du Numérique). Les consignes renvoient à la directive MSSS-DIR06 (T10, T16) et à l'AEG 4.0 (T24). L'orientation infonuagique de la certification ajoute une démarche temporaire : certification TGV préalable et avis de sécurité favorable du MSSS.

Identité et accès (T02, T03, T12, T20)

Selon T20, le compte des intervenants doit provenir de l'annuaire centralisé de Santé Québec : « Ne créez pas de compte d'accès dans la solution, passez plutôt par le compte unique de nos intervenants. » En cas d'arrimage aux actifs informationnels d'intérêt commun, T02 vise l'Entra ID de Santé Québec, selon une directive GIA SanteQc-DIR-012 « pas encore publiée », et T03 le service de fédération d'identité (SFID) pour les utilisateurs sans compte dans les annuaires de Santé Québec, comme des partenaires externes de santé. La consigne de T03 précise que SFID sera remplacé par Entra ID lorsque celui-ci sera fonctionnel et disponible. Dans le même cas, T12 demande de démontrer l'usage de l'Active Directory ou du LDAP d'un établissement local, régional ou provincial à l'intérieur du RITM, par un document structurant ou une capture d'écran. L'orientation MFA nomme d'ailleurs l'Azure AD provincial et SFID comme sources d'identité officielles à privilégier.

Application Web et accessibilité (T01, T08, T13, T14)

T01 demande de respecter les normes d'accessibilité Web du Conseil du Trésor du Québec, en énumérant les exigences WCAG 2.2 du W3C respectées et le niveau atteint (AA ou AAA) ; la consigne renvoie aussi à la loi E-20.1. Pour une application Web, T08 demande une utilisation dans un fureteur, en HTTPS, avec une mise à jour centralisée, et T13 un accès à distance depuis une interface Web, en renvoyant au Standard sur l'accessibilité des sites Web (SGQRI 008 3.0). T14 ajoute qu'en mode Web, l'application ne doit nécessiter l'installation d'aucune composante.

Client-serveur et poste de travail (T09, T15)

Un PST client-serveur doit pouvoir être déployé par un serveur de présentation Citrix, Terminal Service ou Remote Desktop Protocol (T09). T15 demande que le PST puisse invoquer la librairie cryptographique du poste Windows, ou de la session Citrix ou TS, pour la signature, le hachage et le chiffrement. Ni l'un ni l'autre n'a de consigne : au fournisseur de choisir sa démonstration.

Données, performance et surveillance (T05, T06, T07, T22)

T06 demande une base de données extensible, performante et hautement disponible, preuves à l'appui : définition et résultat des tests de charge (ex. transactions par seconde) et mécanismes de haute disponibilité, comme la réplication et la redondance. T05 porte sur la gestion des exceptions et des alertes : seuils de performance et de capacité, alertes clés (ex. temps de réponse au delà d'un seuil), escalade et rapports. T22 demande une surveillance alignée sur la classification, les besoins d'affaires et les normes du site d'hébergement, avec une journalisation bien paramétrée pour cette surveillance (la consigne mentionne le SIEM). T07 exige de pouvoir cloisonner, logiquement ou physiquement, les données clinico-administratives et cliniques ; la consigne rappelle qu'avec Santé Québec, les 30 établissements deviennent 1 établissement, et renvoie au projet de loi 15.

Environnements, mises à jour et API (T11, T19, T23, T25)

T11 demande un système d'exploitation, un système de gestion de base de données et des composantes récents et pris en charge par leur fabricant ; T19 exige que le PST soit toujours à jour. Leurs consignes renvoient à « 15 mesures minimales » (T11) et à « 15 mesures et 12 exigences minimales » (T19). T25 exige des environnements distincts et isolés (Développement, Tests, Préproduction, Production), dans des espaces infonuagiques consacrés à Santé Québec. T23 demande d'utiliser les API du catalogue gouvernemental ou des API reconnues par le MCN.

Sauvegarde et reprise (T21, T26)

T21 demande une sauvegarde de l'applicatif et des données conforme à la classification, aux besoins d'affaires et aux normes du site d'hébergement, selon la règle 3-2-1 : 3 copies, sur 2 types de supports, dont 1 hors site. T26 demande un plan de reprise, ou l'arrimage aux mécanismes du Secrétariat du Conseil du Trésor, pour les solutions dont la disponibilité va de modérée à très élevée ; la consigne renvoie au guide de reprise informatique du Secrétariat. Le suivi annuel va dans le même sens : l'autodéclaration demande un exercice de relève dans un centre distinct au cours des 2 dernières années.

Les preuves à préparer

Voici les pièces que nous suggérons de réunir :

• Le document d'architecture (composantes, flux, hébergement, redondance), relié à la classification et au RTO visé (T04, T18).
• Une fiche d'hébergement : mode SaaS, virtualisation, lieu d'hébergement approuvé (T10, T16, T17, T24).
• La liste des exigences WCAG 2.2 respectées et le niveau, AA ou AAA (T01).
• Selon le cas, la preuve du HTTPS, de la mise à jour centralisée et de l'absence d'installation (T08, T13, T14), ou la procédure de déploiement Citrix, Terminal Service ou RDP (T09), ainsi que l'usage de la librairie cryptographique Windows (T15).
• Le schéma d'intégration d'identité (Entra ID, SFID, Active Directory ou LDAP) avec captures d'écran, et la preuve qu'aucun compte local n'est créé pour les intervenants (T02, T03, T12, T20).
• Les rapports de tests de charge et la configuration de haute disponibilité de la base de données (T06).
• La documentation des alertes, seuils, escalades, rapports, de la journalisation et du SIEM (T05, T22).
• La description du cloisonnement des données (T07).
• L'inventaire des versions et de leur prise en charge, le processus de mise à jour et la liste des API utilisées (T11, T19, T23).
• Le schéma des environnements isolés et consacrés à Santé Québec (T25).
• La politique de sauvegarde 3-2-1, le plan de reprise et le compte rendu du dernier exercice de relève (T21, T26).

Points d'attention

• Critères conditionnels : T02, T03 et T12 visent l'arrimage aux actifs informationnels d'intérêt commun, T08, T13 et T14 les applications Web, T09 les PST client-serveur. Si un critère ne s'applique pas, expliquez pourquoi.
• La classification change l'exigence : redondance pour un RTO de 4 h si la disponibilité est modérée (T18), plan de reprise de modérée à très élevée (T26), sauvegarde et surveillance alignées (T21, T22).
• Références incomplètes : T02 renvoie à une directive « pas encore publiée », T11 et T19 citent des mesures minimales sans nommer le document, et la colonne des références légales est vide pour les 26 critères. Faites confirmer le référentiel attendu par le Bureau de certification.
• Identité en transition : SFID doit être remplacé par Entra ID, alors que T12 parle encore de l'Active Directory ou du LDAP d'un établissement. Prévoyez une architecture qui suit ce changement.
• T25 ne demande pas seulement des environnements séparés : la consigne exige des espaces infonuagiques consacrés à Santé Québec pour chacun.

Besoin d'aide avec ce groupe ?

Sentrix aide les fournisseurs de PST à préparer le groupe Technologie (lecture des critères, revue de l'architecture, constitution des preuves), la certification elle-même relevant du Bureau de certification de Santé Québec. Pour en parler, prenez rendez-vous ou consultez notre service d'accompagnement à la certification TGV.

Suite du guide

Pour la vue d'ensemble et les autres groupes, voyez le guide complet de la TGV et la fiche du référentiel TGV.