Aide HECVAT pour éditeurs SaaS

L’aide HECVAT pour les éditeurs SaaS est le moyen le plus rapide de débloquer une entente au point mort avec un collège ou une université : NorthSight Technologies remplit votre questionnaire HECVAT et corrige le code derrière les réponses pour qu’elles soient réellement vraies. Nous sommes des ingénieurs seniors canadiens — pas un service de remplissage de formulaires — donc quand l’équipe de sécurité d’un campus vérifie vos réponses, elles tiennent la route. Commencez par un appel d’introduction gratuit.

Qu’est-ce que le HECVAT?

Le HECVAT — le Higher Education Community Vendor Assessment Toolkit — est un questionnaire de sécurité normalisé que les collèges et universités envoient aux fournisseurs de logiciels et d’infonuagique avant d’acheter. Il est géré par EDUCAUSE (qui en détient les droits) avec son Higher Education Information Security Council (HEISC), Internet2 et REN-ISAC, et son but est simple : permettre à un fournisseur de répondre à un seul ensemble cohérent de questions de sécurité, de confidentialité et de traitement des données plutôt qu’à un questionnaire sur mesure pour chaque campus. Pour un établissement, c’est une façon partagée et fiable d’évaluer le risque avant de signer; pour un fournisseur, un HECVAT complété est de plus en plus le laissez-passer qui permet au contrat d’avancer.

Si un bureau d’approvisionnement ou de sécurité de l’information d’un campus vous a envoyé un tableur de questions de sécurité avant de signer, ce document est presque certainement un HECVAT ou un équivalent proche.

La génération actuelle, le HECVAT 4 (publié en février 2025), est un classeur modulaire unique d’environ 320 questions réparties en sept sections — information sur l’entreprise et le produit, traitement des données, contrôle d’accès, sécurité applicative, infrastructure, réponse aux incidents et une section confidentialité dédiée — avec une logique conditionnelle qui couvre désormais aussi la gouvernance de l’IA lorsqu’un produit utilise l’IA. La profondeur des questions auxquelles vous répondez réellement s’ajuste au risque de l’engagement.

Qui doit remplir un HECVAT?

Tout fournisseur qui vend un produit logiciel, une application SaaS ou un service infonuagique à un établissement postsecondaire se voit généralement demander d’en remplir un — et la demande se durcit dès que votre produit touche des données d’étudiants, de personnel, de recherche ou de santé. En pratique, cela vise presque tout éditeur SaaS moderne vendant à l’enseignement supérieur : outils pédagogiques, plateformes de services aux étudiants, applications de santé et de mieux-être, logiciels de recherche, analytique, planification, paiements. Si vous vendez à un collège et qu’une revue de sécurité se dresse entre vous et la signature, le HECVAT est cette revue.

Au Canada, il arrive de plus en plus en parallèle d’obligations de confidentialité qui lient l’acheteur — la LPRPDE (PIPEDA) au fédéral, la LPRPS (PHIPA) pour les données de santé en Ontario, et la Loi 25 au Québec — si bien qu’une entente avec un établissement postsecondaire canadien exige souvent de satisfaire au HECVAT et de démontrer que votre traitement des données respecte la loi applicable sur la vie privée. Une firme canadienne qui répond, preuves à l’appui, à la question de résidence des données d’un acheteur canadien détient ici un véritable avantage.

HECVAT Full, Lite et On-Premise — et ce qui a changé dans la version 4

Pendant des années, la trousse s’est présentée sous forme de documents distincts, et les acheteurs emploient encore ces noms :

• HECVAT Full — l’évaluation détaillée, pour les produits à risque élevé ou riches en données.
• HECVAT Lite — une version plus courte pour les achats à moindre risque.
• HECVAT On-Premise — pour les logiciels installés sur le matériel de l’établissement plutôt qu’hébergés par le fournisseur.

Le HECVAT version 4, publié en février 2025, a regroupé ces documents en une seule évaluation modulaire dont la profondeur des questions s’ajuste au risque de l’engagement, plutôt que trois fichiers distincts. L’effet concret pour les fournisseurs : il n’y a qu’une trousse actuelle à traiter, mais beaucoup d’acheteurs parlent encore en termes de « Full / Lite », alors attendez-vous aux deux. Quelle que soit la formulation, les questions de fond — traitement des données, contrôle d’accès, sécurité applicative, infrastructure, réponse aux incidents et confidentialité — sont les mêmes auxquelles votre logiciel doit pouvoir répondre honnêtement.

Comment remplit-on un questionnaire HECVAT?

Mécaniquement, vous parcourez chaque section et répondez honnêtement, en joignant des preuves là où la question le demande :

• Information sur l’entreprise et le produit — qui vous êtes, ce que fait le produit, comment il est hébergé.
• Traitement des données et confidentialité — quelles données personnelles vous collectez, où elles sont stockées, qui peut les voir et comment elles traversent les frontières.
• Contrôle d’accès et authentification — comment les utilisateurs prouvent qui ils sont et ce qu’ils ont le droit de faire.
• Sécurité applicative — comment le logiciel lui-même est protégé contre les classes d’attaques courantes.
• Infrastructure et exploitation — hébergement, chiffrement, sauvegardes, surveillance.
• Réponse aux incidents — ce qui se passe, et qui vous prévenez, quand un problème survient.

Remplir le document n’est pas la partie difficile. La difficulté, c’est qu’un nombre important de réponses ne sont « oui » que si le logiciel se comporte réellement ainsi — données chiffrées au repos, contrôle d’accès appliqué côté serveur, journaux existants, données qui restent au Canada. Là où la réponse honnête est « non », le correctif est un changement d’ingénierie, pas une meilleure formulation. Écrire une réponse assurée que vous ne pouvez pas étayer est le moyen le plus rapide d’échouer à la vérification, car l’équipe de sécurité de l’acheteur vérifie.

Pourquoi les fournisseurs restent coincés — et où entre la revue de code

Le schéma que nous voyons constamment : le questionnaire lui-même se remplit en une journée, puis l’entente stagne pendant des semaines parce que deux ou trois réponses ne peuvent pas honnêtement être « oui ». Le contrôle d’accès fuit entre les locataires. Des secrets sont codés en dur. Il n’y a pas de chiffrement au repos. La résidence des données ne peut pas être prouvée. Ce ne sont pas des problèmes de paperasse — ils sont dans le code. C’est le moment où une revue de code sécurisé cesse d’être optionnelle : le seul moyen de rendre vraies les réponses du HECVAT est de trouver les lacunes de l’application et de les combler. C’est exactement le travail que nous faisons, et c’est pourquoi faire appel à des ingénieurs — plutôt qu’à un service de formulaires — est ce qui débloque réellement la vente.

Comment NorthSight vous aide à réussir

Nous vous accompagnons du début à la fin :

• Examiner l’application selon ce que le HECVAT sonde réellement — authentification, contrôle d’accès, gestion des secrets, dépendances et résidence des données — pour savoir exactement quelles réponses sont actuellement vraies.
• Combler les vraies lacunes. Les mêmes ingénieurs seniors qui trouvent un constat bâtissent le correctif et le re-testent, pour que « oui » devienne un oui appuyé par des preuves.
• Remplir le questionnaire avec vous, pour que le libellé soit exact, cohérent et défendable quand l’équipe de sécurité de l’acheteur fait son suivi.
• Documenter le traitement et la résidence des données — une firme canadienne qui répond à l’exigence de résidence d’un acheteur canadien avec des preuves, pas une supposition.

C’est précisément la situation pour laquelle nous sommes conçus. Dans un engagement représentatif, un éditeur SaaS en santé et éducation avait une entente convenue en principe avec des collèges canadiens, en attente d’un HECVAT et de la revue de code qui l’accompagne — le genre de blocage où la paperasse est prête mais où deux réponses ne peuvent pas honnêtement être « oui » tant que le logiciel ne change pas. Des ingénieurs seniors qui trouvent les problèmes et les corrigent sont ce qui transforme ce point mort en signature.

Combien coûte l’aide HECVAT, et combien de temps cela prend-il?

Cela dépend de la proximité de votre logiciel avec ce que le questionnaire exige. Si les réponses sont réellement « oui » et qu’il vous faut seulement de l’aide pour remplir et prouver le document, c’est un court engagement. Si deux ou trois réponses exigent d’abord un changement de code, l’échéance et le coût sont dictés par ces constats — taille du code, langage et accès. Votre premier appel de 20 minutes est gratuit : nous l’utilisons pour voir quel questionnaire et quelle échéance vous visez et tracer le chemin le plus rapide et honnête.

Foire aux questions