Test d'intrusion pour la certification TGV (2026) : exigences, portée, délais et coût

Aucun produit ou service technologique n'obtient la certification TGV de Santé Québec sans test d'intrusion. L'orientation du Bureau de certification le dit sans détour : « les tests d'intrusion (ou test de pénétration) sont maintenant un prérequis à l'obtention de la certification Trousse globale de vérification (TGV) pour tous les produits ou services technologiques utilisant des données personnelles, de santé et de services sociaux ». Le guide du ministère de la Santé et des Services sociaux (MSSS) précise que l'obligation s'applique depuis janvier 2022, conformément aux exigences du Secrétariat du Conseil du trésor, et la liste des critères de vérification du 24 avril 2026 en fait le critère S16.03 : « Soumettre votre application à un test d'intrusion administré par un prestataire indépendant et reconnu par Santé Québec. »

Ce qui distingue le test TGV d'un test d'intrusion commercial ordinaire, c'est que le Bureau dicte la façon de le faire. Il impose le type de test, l'environnement, la couverture des rôles, le profil du prestataire, le contenu du rapport et, indirectement, la langue du livrable. Un fournisseur qui commande un test « standard » découvre souvent à la vérification que le résultat n'est pas recevable. Ce guide reprend chacune de ces exigences à partir des documents publiés par le MSSS et le Bureau de certification, puis explique comment planifier le test, le corriger et le renouveler chaque année. Pour l'ensemble du processus de certification, les frais et les délais, notre guide complet de la certification TGV (en anglais) reste la référence.

Réponse rapide : le test d'intrusion TGV doit être réalisé en boîte blanche (la boîte grise n'est tolérée que pour certains produits non sensibles sans déploiement provincial, la boîte noire est refusée), dans un environnement de production ou équivalent, en testant tous les rôles du système dans leur contexte d'utilisation, par un prestataire indépendant ayant des représentants légalement autorisés au Canada, du personnel certifié et vérifié, et capable de fournir le rapport en français au Bureau sans frais. Le rapport comporte huit éléments obligatoires. Les vulnérabilités doivent être corrigées ou atténuées dans les quinze jours, un plan de mitigation doit être présenté dans les trois jours ouvrables pour toute vulnérabilité critique, et le test doit être répété chaque année. Où Stingrai se situe : Stingrai est une entreprise de sécurité offensive accréditée CREST, établie à Toronto avec un bureau à Londres. Ses testeurs d'intrusion simulent des attaques réelles contre les applications, l'infonuagique, les réseaux et les personnes, en mandat ponctuel ou en continu par sa plateforme PTaaS, avec des tarifs publiés à partir de 3 000 $ US par évaluation pour une application Web et ses API (tarifs) et un devis pour toute autre portée.

Pourquoi le test est obligatoire, et où il apparaît dans les documents

Trois documents portent l'obligation, et ils se renforcent.

Le critère S16.03 de la liste des critères. La liste du 24 avril 2026, publiée sur la page des orientations du MSSS, compte 382 critères en sept volets. Dans le volet Sécurité, catégorie Gestion de la conformité, le critère S16.03 exige le test d'intrusion. La consigne de preuve qui l'accompagne demande de fournir « une copie du rapport expliquant les résultats du test, la nature du test et, le cas échéant, le plan d'action qui en découle », et renvoie directement à l'orientation sur les tests d'intrusion. Dans la liste de 2024, le même critère portait le numéro S16.02 et parlait d'un prestataire « reconnu par le MSSS »; la formulation actuelle désigne Santé Québec.

L'orientation concernant les tests d'intrusion. Publiée par le Bureau de certification et d'homologation (BCH), elle rattache l'obligation à la directive du Secrétariat du Conseil du trésor sur le plan de détection des vulnérabilités (NVD19) et fixe la portée, le profil du prestataire et le contenu du rapport. Tout ce qui suit dans ce guide en découle.

L'attestation et l'autodéclaration annuelle. L'attestation de certification (BC-D0001-01) engage le fournisseur, pour toute la durée de la certification, « à passer annuellement au moins un test d'intrusion auprès d'une firme indépendante suivant les orientations en vigueur au BC » et à transmettre le résultat, avec les preuves de mitigation, « au plus tard lors du dépôt de l'autodéclaration ». Le formulaire d'autodéclaration (BC-F0003-01) reprend l'engagement à ses points 6 à 9 : au moins un test au cours de la dernière année, vulnérabilités corrigées ou atténuées dans les quinze jours suivant le rapport, vulnérabilités critiques signalées avec un plan dans les trois jours, et rapport confirmant les correctifs joint à la déclaration.

Le critère S16.02 de la liste de 2026 ajoute une exigence voisine : disposer « d'une stratégie de validation de la conformité technique des différentes composantes de votre application et de son environnement sous votre responsabilité (incluant les actifs confiés à vos fournisseurs) », dont il faut décrire les moyens, les circonstances, la nature et la fréquence. Le test d'intrusion annuel en est un élément, non la totalité : balayages de vulnérabilités, revues de configuration et suivi des correctifs complètent la stratégie.

Ce que le Bureau exige : les sept règles de portée

L'orientation énumère sept points de couverture. Chacun exclut une pratique courante.

La règle 3 est celle qui transforme le test en exercice d'autorisation. Tester chaque rôle dans son contexte, y compris les rôles non accessibles depuis le Web, revient à vérifier qu'un utilisateur ne peut consulter ni modifier ce que son rôle ne l'autorise pas à toucher. C'est là que se logent les contrôles d'accès défaillants, les références directes à des objets non autorisées et les élévations de privilèges, les classes de vulnérabilités les plus fréquentes dans les applications de santé.

Boîte blanche, grise ou noire : ce que le Bureau accepte

L'orientation définit les trois types de test et se prononce sur chacun.

Un produit qui traite des renseignements de santé est sensible par définition, et un produit qui vise plus d'un établissement vise un déploiement provincial. Pour la quasi-totalité des fournisseurs, la seule option sûre est donc la boîte blanche : accès administrateur, documentation d'architecture, et, idéalement, accès au code source. Commander un test en boîte noire est l'erreur la plus coûteuse du processus, parce que l'argent est dépensé et que le critère reste ouvert.

Le prestataire reconnu : six conditions

Le Bureau « acceptera les résultats des tests d'intrusion ou tests de pénétration provenant uniquement d'un prestataire de service répondant minimalement aux exigences suivantes » :

1. avoir des représentants légalement autorisés au Canada;

2. être minimalement spécialisé en cybersécurité et en protection des renseignements personnels, avec du personnel possédant des certifications reconnues en test d'intrusion ou de vulnérabilités;

3. être en mesure de fournir des preuves d'antécédents criminels pour le personnel effectuant les tests, parce qu'il accède à de l'information extrêmement sensible;

4. être responsable et imputable des résultats, qu'il utilise des sous-traitants ou non;

5. être en mesure, avec l'accord de son client, de fournir sans frais le rapport des tests en français au Bureau;

6. être en mesure de réaliser des tests dans un environnement de production ou équivalent, en tenant compte des risques ou enjeux d'affaires du client.

Deux de ces conditions éliminent tardivement des prestataires par ailleurs compétents. Une firme sans représentants légalement autorisés au Canada ne se qualifie pas, quelle que soit sa réputation. Une firme incapable de livrer le rapport en français au Bureau sans frais ne se qualifie pas non plus, et une traduction commandée après coup coûte plus cher et prend plus de temps qu'un livrable prévu au contrat.

Comment confirmer la reconnaissance. Il n'existe pas de liste publique de firmes reconnues. La reconnaissance s'apprécie à partir des six conditions. La démarche fiable consiste à transmettre au Bureau, avant de signer, les coordonnées de la firme, les certifications de ses testeurs, sa capacité de vérification des antécédents et sa capacité de livraison en français, puis à obtenir une confirmation écrite. Le Bureau est le point d'entrée unique du processus et répond à cette question à l'adresse certification@sante.quebec.

Le rapport : huit éléments obligatoires

Le rapport doit permettre au Bureau « d'appuyer ses décisions relatives à l'acceptation ou non du PST ». Il présente au minimum :

1. le contexte : objectifs et portée du test d'intrusion;

2. la méthodologie d'évaluation des risques et d'identification des vulnérabilités;

3. la description de chacun des tests effectués, concluants ou non, et les résultats obtenus;

4. la documentation détaillée de chaque vulnérabilité identifiée et des risques associés;

5. les forces et les faiblesses des mesures de sécurité examinées;

6. les vulnérabilités potentiellement présentes qui n'ont pu être exploitées;

7. des recommandations spécifiques aux vulnérabilités majeures ou critiques et des recommandations générales;

8. une synthèse de type sommaire de gestion, complète et d'interprétation facile, dans le rapport ou dans un document distinct.

Les éléments 3 et 6 séparent un rapport de certification d'un export d'outil. Le Bureau veut voir les tests qui n'ont pas abouti et les vulnérabilités soupçonnées mais non exploitables, parce que c'est ainsi qu'il distingue une couverture réelle d'une découverte fortuite. Un rapport qui ne liste que les failles trouvées ne démontre pas ce qui a été vérifié. Notre exemple de rapport de test d'intrusion (en anglais) montre une structure qui couvre les huit éléments.

Fraîcheur du test et périodicité

Le formulaire officiel de demande de certification pose la question : « Est-ce que le PST a fait l'objet d'un test d'intrusion récent (moins de six mois)? » Si oui, il demande la date du test, le nom de la firme, la portée, si les anomalies détectées ont été corrigées, s'il en reste, et si le fournisseur accepte de transmettre une copie du rapport. Six mois est donc la fenêtre pratique au moment de la demande. Un test dont le rapport ne peut être partagé, ou qui s'est conclu sur des anomalies non corrigées et sans plan, affaiblit le dossier plutôt qu'il ne le renforce.

Après la certification, l'obligation devient annuelle. Le certificat est valide cinq ans, mais son renouvellement tacite d'un an dépend chaque année de l'acceptation de l'autodéclaration, qui doit être déposée au moins quinze jours avant la date d'anniversaire de l'attestation, avec le rapport de test et les preuves de mitigation. Un test manqué une année met la certification en jeu, jusqu'au retrait.

Les trois délais de correction

Trois horloges distinctes tournent après la réception du rapport.

Le délai contractuel de quinze jours. L'autodéclaration annuelle atteste que « toutes les vulnérabilités détectées lors des tests d'intrusion ont été corrigées ou bien des mesures de mitigation ont été mises en place dans les quinze jours suivant le rapport de test ». Le guide MSSS de 2024 parlait de quinze jours ouvrables; l'attestation la plus récente remplace la fenêtre fixe par une échéance « convenue avec le BC ». Convenez donc explicitement de la vôtre, mais planifiez sur quinze jours.

Le délai de trois jours ouvrables pour une vulnérabilité critique. Le fournisseur « doit informer le BC de toute vulnérabilité critique dès qu'il en a été informé et il doit présenter un plan d'instauration des mesures de mitigation dans les trois jours ouvrables suivants ».

La matrice gouvernementale de remédiation. Le Bureau publie, « à titre indicatif », les délais établis par le ministère de la Cybersécurité et du Numérique en vertu de la Loi sur les ressources informationnelles : pour un actif exposé à Internet avec un correctif ou une mesure de contournement disponible, de 2 jours (impact et probabilité très élevés) à 60 jours (impact faible); pour un actif exposé à Internet sans correctif disponible, de 8 à 90 jours; pour un actif non exposé à Internet, de 8 à 90 jours. L'orientation souligne que ces délais « sont exprimés en jours civils et non en jours ouvrables » et qu'il « demeure essentiel de discuter et de convenir des échéances précises avec le BC ».

Une vulnérabilité critique sur un actif exposé à Internet avec correctif disponible se corrige donc en deux jours civils. C'est le chiffre autour duquel construire le processus de mise en production, et la raison pour laquelle le test doit précéder la vérification de plusieurs mois plutôt que de quelques semaines.

Calendrier : où placer le test par rapport à la vérification

Le Bureau publie deux durées : de 1 à 6 semaines de préparation, selon la maturité du produit et de l'organisation, puis 30 jours ouvrables de vérification par la firme externe. Son document Planification des vérifications TGV détaille cette seconde phase jour par jour, à partir de la réunion de démarrage (J0) :

Le premier dépôt de preuves arrive donc huit jours après la réunion de démarrage. Le rapport de test d'intrusion, le plan d'action et les preuves de correction doivent être prêts à ce moment. En comptant le délai de quinze jours pour les correctifs, le retest, et les six mois de fraîcheur exigés à la demande, la fenêtre raisonnable pour réaliser le test se situe trois à quatre mois avant le début prévu de la vérification : assez tôt pour corriger, assez tard pour rester dans les six mois.

En cas de refus, le fournisseur peut présenter une nouvelle demande, à ses frais, après un délai minimal de trois mois et une fois les correctifs attendus apportés. Un test placé trop tard coûte donc, au pire, un trimestre entier.

Ce qui a changé en 2026

Trois publications récentes modifient la préparation du test.

La liste des critères du 24 avril 2026. Elle passe de 254 critères en six volets à 382 critères en sept volets, avec un nouveau volet Intelligence artificielle de 69 critères. Le critère IA12 exige, pour toute solution utilisant l'IA générative, « un rapport décrivant des tests d'injection de requêtes malveillantes », le critère IA40 interdit toute communication de renseignements personnels à l'extérieur du Québec par une composante d'IA, y compris les appels à des modèles génératifs, sans consentement explicite, et les critères IA49 et IA50 exigent que les accès à la solution d'IA respectent le rôle de l'utilisateur. Pour une solution avec une composante d'IA, le test d'intrusion couvre ces surfaces, et le rapport d'injection d'IA12 se produit naturellement dans le même mandat. Notre guide TGV Certification for AI Health Tools in Quebec (2026) (en anglais) détaille les 69 critères.

L'orientation sur l'authentification à facteurs multiples (19 décembre 2025). Elle fixe le niveau d'assurance AU3 comme « niveau minimal exigé pour tout PST traitant des renseignements de santé ou de services sociaux ou arrimé avec un actif informationnel d'intérêt commun », et précise qu'un seul facteur (AU1) « n'est pas jugé adéquat pour passer le processus de certification ». Le test d'intrusion vérifie l'implantation réelle du deuxième facteur, y compris ses contournements.

Les critères technologiques T17, T24 et T25. Hébergement dans les espaces de Santé Québec ou dans un espace infonuagique approuvé par le ministère de la Cybersécurité et du Numérique, priorité à l'infonuagique, et environnements de développement, de test, de préproduction et de production distincts et isolés. L'isolation entre ces environnements fait partie de ce qu'un test en boîte blanche vérifie.

Combien coûte le test d'intrusion TGV

Le test est un coût distinct des frais de certification. L'entente type de Santé Québec fixe ces derniers à 15 000 $ hors taxes pour l'étape de vérification, payables dans les 30 jours de la facture; ils ne sont pas remboursables et varient selon la complexité du produit et les objectifs d'interopérabilité. Le test, lui, est payé à la firme et revient chaque année.

Ce qui fait varier son prix :

• le nombre de rôles, puisque chaque rôle doit être testé dans son contexte et contre les autres; c'est le premier facteur de coût et de couverture;

• le nombre d'applications et d'API dans la portée, y compris les points d'intégration avec les actifs d'intérêt commun;

• les clients mobiles, s'ils existent;

• l'environnement infonuagique, lorsque la configuration et le modèle d'identités du compte d'hébergement font partie de la portée, ce que la règle 5 de l'orientation implique;

• les composantes d'intelligence artificielle, qui ajoutent des surfaces et le rapport d'injection du critère IA12;

• le livrable en français, à prévoir au contrat plutôt qu'en traduction après coup;

• le retest, indispensable avec une fenêtre de correction de quinze jours.

Les tarifs publiés de Stingrai sont de 3 000 $ US par évaluation pour le forfait Autonome et de 6 800 $ US pour le forfait Hybride, chacun couvrant exactement une application Web et ses API. Les portées TGV qui ajoutent des clients mobiles, un environnement infonuagique, plusieurs applications ou une composante d'IA font l'objet d'un devis. Notre calculateur de coût (en anglais) donne une fourchette en quelques minutes.

Les erreurs qui font échouer le critère

1. Commander un test en boîte noire. Le résultat n'est pas accepté; l'argent est dépensé; le critère reste ouvert.

2. Choisir une firme qui ne remplit pas les six conditions. Sans représentants au Canada, sans vérification des antécédents ou sans rapport en français, les résultats sont irrecevables, quelle que soit leur qualité.

3. Tester trop tard. Un test terminé la semaine du démarrage ne laisse ni les quinze jours de correction, ni les deux jours civils exigés pour une vulnérabilité critique exposée à Internet.

4. Tester une partie des rôles. L'orientation exige tous les rôles, accessibles depuis le Web ou non; une couverture partielle est une lacune que le vérificateur repère.

5. Tester un environnement non équivalent à la production. La règle est explicite et facile à vérifier.

6. Livrer un rapport sans les tests non concluants ni les vulnérabilités non exploitées. Les éléments 3 et 6 manquent, et le Bureau ne peut pas mesurer la couverture.

7. Oublier le retest et la preuve de mitigation. L'autodéclaration exige le rapport « confirmant les correctifs ou la mise en place des mesures de mitigation ».

8. Laisser passer l'anniversaire. Le test annuel et l'autodéclaration sont dus au moins quinze jours avant la date d'anniversaire; un manquement peut mener au non-renouvellement, à la publication d'une non-conformité, à une vérification ciblée ou au retrait.

Liste de contrôle

Avant la demande :

• [ ] Écrire la matrice des rôles : chaque acteur, son contexte d'utilisation, accessible depuis le Web ou non.

• [ ] Décrire le mode de déploiement et l'architecture, y compris l'hébergement infonuagique et les intégrations.

• [ ] Confirmer par écrit auprès du Bureau que la firme retenue remplit les six conditions.

• [ ] Exiger au contrat : boîte blanche, environnement de production ou équivalent, tous les rôles, rapport à huit éléments, livrable en français sans frais pour le Bureau, retest inclus.

• [ ] Réaliser le test trois à quatre mois avant la vérification.

• [ ] Corriger dans les quinze jours, présenter un plan dans les trois jours ouvrables pour toute vulnérabilité critique, retester, conserver les preuves.

• [ ] Vérifier que le test a moins de six mois au dépôt du formulaire de demande.

Après la certification :

• [ ] Réserver le test de l'année suivante au moins trois mois avant l'anniversaire.

• [ ] Déposer l'autodéclaration au moins quinze jours avant l'anniversaire, avec le rapport et les preuves de mitigation.

• [ ] Soumettre tout changement majeur au Bureau avant sa mise en production, dans le délai applicable (quinze jours dans l'attestation actuelle, vingt jours sur la page des applications certifiées; confirmer le vôtre).

• [ ] Refaire le test après tout changement majeur qui modifie la surface d'attaque, même si l'année n'est pas écoulée.

Comment Stingrai réalise un test d'intrusion TGV

Stingrai est un prestataire de tests d'intrusion accrédité CREST au niveau de la firme, fondé en 2021, établi à Toronto, qui sert des clients au Canada, aux États-Unis et en Europe. Stingrai ne fait que de la sécurité offensive, et ses tests d'intrusion soutiennent les programmes TGV, Loi 25, SOC 2, ISO 27001, HIPAA et PCI DSS de ses clients avec les preuves que ces programmes exigent. Stingrai a réalisé le test d'intrusion à portée TGV de Bia Education, une plateforme québécoise en santé, dans le cadre de sa certification.

Les mandats sont cadrés sur les exigences du Bureau : livraison depuis le Canada, testeurs certifiés (OSCE3, OSCP, OSWE, CREST CRT, CISSP) dont les antécédents peuvent être vérifiés, test en boîte blanche dans un environnement de production ou équivalent, couverture complète de la matrice des rôles, et rapport structuré selon les huit éléments de l'orientation, fourni en français au Bureau sans frais avec l'accord du client. Les constats sont publiés dans le portail PTaaS au fur et à mesure de leur confirmation, avec les étapes de reproduction et les recommandations de correction, ce qui permet de démarrer les correctifs pendant le test plutôt qu'après. Le retest est inclus, et le mandat se conclut par une lettre d'attestation signée qui précise la portée, la méthodologie et les résultats du retest. La reconnaissance de la firme est confirmée par le fournisseur auprès du Bureau avant le début du mandat, et Stingrai fournit tout ce que le Bureau demande pour appuyer cette confirmation.

Stingrai réalise des tests d'intrusion annuels ponctuels, ce que l'obligation TGV exige, et des programmes de tests en continu. Pour les applications Web, Snipe, l'agent d'IA autonome de Stingrai pour les tests d'intrusion d'applications Web, travaille en même temps que les testeurs, qui dirigent son attention et prolongent ses chemins d'attaque; il est conçu pour traquer les défauts d'autorisation et de logique d'affaires que la règle des rôles met en évidence. Toute autre portée, réseau, infonuagique, mobile, composantes d'IA, est menée par les testeurs. Les forfaits publiés et ce qu'ils comprennent sont sur la page des tarifs; les portées TGV plus larges passent par le formulaire Get a Quote.

Foire aux questions

Le test d'intrusion est-il obligatoire pour la certification TGV?

Oui. Le critère S16.03 de la liste des critères du 24 avril 2026 exige de soumettre l'application à un test d'intrusion administré par un prestataire indépendant et reconnu par Santé Québec. L'orientation du Bureau de certification en fait un prérequis pour tout produit ou service utilisant des données personnelles, de santé et de services sociaux, en application de la directive NVD19 du Secrétariat du Conseil du trésor, et le guide du MSSS date l'obligation de janvier 2022. L'attestation de certification exige ensuite au moins un test par année.

Quel type de test d'intrusion le Bureau accepte-t-il?

La boîte blanche est acceptée dans tous les cas. La boîte grise est acceptée seulement pour certains produits non sensibles pour lesquels aucun déploiement provincial n'est prévu. La boîte noire n'est pas acceptée par le Bureau, qui recommande de l'éviter si l'on veut obtenir la certification. Le test doit aussi être réalisé dans un environnement de production ou équivalent, couvrir tous les rôles dans leur contexte d'utilisation, et s'inspirer de standards reconnus comme NVD, OWASP, OSSTMM et NIST.

Qu'est-ce qu'un prestataire indépendant et reconnu?

Le Bureau accepte uniquement les résultats d'un prestataire qui remplit six conditions : des représentants légalement autorisés au Canada; une spécialisation en cybersécurité et en protection des renseignements personnels avec du personnel certifié en test d'intrusion; la capacité de fournir des preuves d'antécédents criminels pour les testeurs; l'imputabilité des résultats, sous-traitants compris; la capacité, avec l'accord du client, de fournir sans frais le rapport en français au Bureau; et la capacité de tester en production ou dans un environnement équivalent. Il n'existe pas de liste publique : confirmez la reconnaissance par écrit auprès du Bureau avant de signer.

Le rapport doit-il être en français?

La firme doit être en mesure, avec l'accord de son client, de fournir sans frais le rapport en français au Bureau. Un prestataire qui ne peut pas le faire ne remplit pas les conditions de reconnaissance. Prévoyez le livrable en français au contrat plutôt qu'une traduction après la rédaction.

Que doit contenir le rapport de test d'intrusion?

Huit éléments : le contexte (objectifs et portée); la méthodologie d'évaluation des risques et d'identification des vulnérabilités; la description de chaque test effectué, concluant ou non, et ses résultats; la documentation détaillée de chaque vulnérabilité et des risques associés; les forces et faiblesses des mesures de sécurité examinées; les vulnérabilités potentiellement présentes non exploitées; des recommandations spécifiques aux vulnérabilités majeures ou critiques et des recommandations générales; et un sommaire de gestion complet et facile à interpréter.

Dans quel délai faut-il corriger les vulnérabilités?

L'autodéclaration annuelle atteste que les vulnérabilités ont été corrigées ou atténuées dans les quinze jours suivant le rapport, l'attestation la plus récente renvoyant à une échéance convenue avec le Bureau. Toute vulnérabilité critique doit être signalée au Bureau dès qu'elle est connue, avec un plan de mitigation dans les trois jours ouvrables. La matrice gouvernementale publiée à titre indicatif va de 2 jours civils, pour un actif exposé à Internet avec correctif disponible et un impact très élevé, à 90 jours civils.

Le test doit-il dater de moins de six mois?

Le formulaire de demande de certification demande si le produit a fait l'objet d'un test d'intrusion récent, de moins de six mois, puis la date, la firme, la portée, l'état des corrections et l'accord pour transmettre le rapport. Six mois est donc la fenêtre pratique au moment de la demande; après la certification, l'obligation devient annuelle.

Combien coûte un test d'intrusion TGV?

Le coût dépend du nombre de rôles, du nombre d'applications et d'API, de la présence de clients mobiles, de l'inclusion de l'environnement infonuagique, des composantes d'intelligence artificielle, du livrable en français et du retest. Il s'ajoute aux frais de certification de 15 000 $ hors taxes prévus à l'entente type de Santé Québec. Les tarifs publiés de Stingrai vont de 3 000 $ US à 6 800 $ US par évaluation pour une application Web et ses API; toute autre portée fait l'objet d'un devis.

Quand faut-il faire le test par rapport à la vérification?

Trois à quatre mois avant le début prévu de la vérification. Le premier dépôt de preuves est attendu à J+9 après la réunion de démarrage, les correctifs doivent être en place dans les quinze jours suivant le rapport, un retest doit confirmer les corrections, et le test doit avoir moins de six mois au dépôt du formulaire de demande.

Que se passe-t-il si le test annuel est manqué après la certification?

Le respect des engagements, dont le test annuel et le dépôt de l'autodéclaration au moins quinze jours avant l'anniversaire, est « une condition essentielle au maintien et au renouvellement annuel de la certification TGV, malgré sa durée de validité de cinq ans ». Un manquement peut entraîner le non-renouvellement, la publication d'une non-conformité sur le site du Bureau, une vérification ciblée, une réévaluation du statut ou le retrait de la certification.

Lectures connexes

• TGV Certification in Quebec (2026): What It Is, the Penetration Testing Requirement, Timeline, Evidence and Cost, le guide complet en anglais.

• TGV Certification for AI Health Tools in Quebec (2026), les 69 critères d'intelligence artificielle de la liste de 2026.

• Quebec Law 25 penetration testing requirements (2026), pour les obligations de la Loi 25.

• Penetration testing companies in Montreal (2026) et Top penetration testing companies in Canada (2026).

• Web application penetration testing et AI and LLM penetration testing.

Parlez à Stingrai

Cadrer un test d'intrusion TGV prend une courte conversation : matrice des rôles, mode de déploiement, intégrations, composantes d'IA et calendrier de vérification. Stingrai est une entreprise de sécurité offensive accréditée CREST, établie à Toronto avec un bureau à Londres. Ses testeurs d'intrusion simulent des attaques réelles contre les applications, l'infonuagique, les réseaux et les personnes, en mandat ponctuel ou en continu par sa plateforme PTaaS, avec des constats documentés, des recommandations de correction et le retest inclus. Réservez un appel de cadrage gratuit, demandez un devis ou consultez les tarifs publiés.

Références

1. Bureau de certification. _Orientation concernant les tests d'intrusion._ https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/orientation-tests-intrusion.pdf. Les sept règles de portée, les trois types de test, les six conditions du prestataire et les huit éléments du rapport.

2. Ministère de la Santé et des Services sociaux. _Critères de vérification de la TGV_, version 2026-04-24. https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/liste-criteres-TGV_v2026-04-24.xls. La liste en vigueur, dont les critères S16.02, S16.03 et le volet Intelligence artificielle.

3. Ministère de la Santé et des Services sociaux. _Certification : Trousse globale de vérification (TGV)._ Publication 24-715-38W, 2024. https://publications.msss.gouv.qc.ca/msss/document-003757/. Le guide officiel, dont la mention de l'obligation depuis janvier 2022.

4. Bureau de certification. _Orientation sur le délai de remédiation des vulnérabilités._ https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/orientation-delai-remediation-vulnerabilites.pdf. La matrice gouvernementale en jours civils.

5. Bureau de certification. _Planification des vérifications TGV_ (24-715-53W). https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/planification-verifications-tgv.pdf. Le calendrier de J0 à J+29.

6. Bureau de certification de Santé Québec. _Attestation, certification TGV_ (BC-D0001-01). https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/BC_TGV_ATTESTATION.pdf. Les neuf engagements annuels, dont le test d'intrusion.

7. Bureau de certification. _Autodéclaration, suivi et évaluation annuelle des engagements_ (BC-F0003-01). https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/gabarit-formulaire-autodeclaration-annuelle.pdf. Les points 6 à 9 sur le test, les correctifs et le rapport.

8. Bureau de certification. _Formulaire pour une demande de certification TGV._ https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/Formulaire-demande-certification-tgv.xlsm. La question du test de moins de six mois.

9. Santé Québec. _Entente, certification TGV_ (BC-D0002-01). https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/BC_TGV_ENTENTE_SQ_Fournisseur.pdf. Les frais de certification de 15 000 $ hors taxes.

10. Bureau de certification. _Orientation sur l'authentification à facteurs multiples (MFA)._ 19 décembre 2025. https://www.msss.gouv.qc.ca/professionnels/documents/technologies-information/certification-produits-services/orientation-authentification-facteurs-multiples_mfa.pdf. Le niveau AU3 minimal.

11. Ministère de la Santé et des Services sociaux. _À propos de la certification._ https://www.msss.gouv.qc.ca/professionnels/technologies-information/certification-produits-et-services-technologiques/a-propos-certification/. Les durées publiées de préparation et de vérification, la validité de cinq ans.