Spécial - Certification - Trousse globale de vérification (TGV) pour le réseau de la santé au Québec - Parce que... c'est l'épisode 0x358! — PolySécure Podcast

Spécial - Certification - Trousse globale de vérification (TGV) pour le réseau de la santé au Québec - Parce que... c'est l'épisode 0x358!

PolySécure Podcast · 20/10/2026 04:00 · 43 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x358! Shameless plug Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’invité et le sujet

L’épisode spécial du Polysecure accueille Sébastien Robert, associé principal chez Factero Services-Conseils, un petit cabinet boutique en gouvernance des technologies de l’information. L’animateur souligne l’importance de ces dialogues où les auditeurs lèvent la main pour partager leur expertise. Sébastien a proposé d’aborder le TGV, un cadre normatif obligatoire pour les fournisseurs technologiques du système de santé québécois.

Un référentiel adaptatif de 382 critères

Le TGV signifie trousse globale de vérification. Ce référentiel compte 382 critères, un volume considérable comparativement aux normes habituelles comme ISO 27001 ou SOC 2, qui en comptent généralement entre 90 et 200. Contrairement à ces normes où l’on applique l’ensemble des contrôles, le TGV fonctionne selon un principe de gros bon sens. Le fournisseur présente sa solution à Santé Québec, qui évalue les critères applicables, que ce soit 382 critères ou 100 à 250 selon la conception et la fonction de l’application.

Une sélection en boîte grise

La sélection effectuée par Santé Québec n’est ni une boîte noire ni une boîte blanche, mais plutôt une boîte grise. Des grandes familles de critères s’appliquent selon la nature de la solution. Un scribe alimenté par l’intelligence artificielle verra les critères liés à l’IA s’appliquer, tandis qu’une connexion au dossier de santé numérique entraînera l’évaluation des critères d’interopérabilité. Le processus débute par un contact avec Santé Québec, qui fournit la grille, puis un questionnaire détermine les critères retenus. Sébastien insiste sur l’honnêteté requise, car cacher des informations mènerait aux mêmes ennuis qu’avec un auditeur SOC 2, tandis que la transparence génère de la collaboration en retour.

Un référentiel évolutif inspiré de plusieurs normes

Santé Québec a publié son nouveau référentiel en juin, passant de 254 à 382 critères, une augmentation d’environ 50 %. Cette croissance se traduit principalement dans la gestion de la vie privée et de l’intelligence artificielle, avec l’intégration de presque la totalité des contrôles d’ISO 42001. Le TGV combine aussi la loi 5, la loi 25, ISO 27001, des critères de HIPAA et de SOC 2 type 2, avec une centaine de contrôles propres, notamment en interopérabilité, applicables dès qu’une connexion existe entre deux applications. L’animateur y voit le nerf de la guerre dans le milieu de la santé, tant la communication entre systèmes demeure difficile. Sébastien anticipe que les prochaines moutures pourraient exiger la conformité à l’infrastructure de Nuage Québec. Il mentionne aussi la création récente de Données souveraines Québec, financée par le ministère du Numérique et de la Cybersécurité, dont son cabinet est membre.

L’absence de reconnaissance mutuelle

Il n’existe pas de processus de reconnaissance de certification. Une certification SOC 2, ISO 27001 ou NIST ne donne pas droit à une exemption de critères. L’équipe de Sébastien a toutefois monté un mapping sur 13 grands référentiels, qui sera bientôt publié sur GitHub via C

Plus d'informations