So sánh chữ ký số USB Token, HSM và ký số từ xa

Khi hỏi mua chữ ký số, phần lớn doanh nghiệp được chào USB Token mặc định và không ai giải thích rằng còn hình thức khác. Chỉ đến lúc vận hành trục trặc — người cần ký thì đang đi công tác, hoặc mỗi tháng phải ký hàng nghìn hóa đơn mà cứ phải cắm token bấm PIN từng cái — bạn mới biết lẽ ra có lựa chọn phù hợp hơn.

Ba hình thức phổ biến hiện nay khác nhau ở đúng một điểm cốt lõi: khóa bí mật của bạn nằm ở đâu. Mọi ưu nhược điểm còn lại đều chảy ra từ đó.

USB Token: khóa nằm trong cục USB bạn cầm

Đây là hình thức quen thuộc nhất. Khóa bí mật được sinh ra và nằm trọn trong con chip của thiết bị, không xuất ra ngoài được. Muốn ký, bạn phải cắm token vào máy tính và nhập PIN.

Điểm mạnh thật sự: bạn cầm được cái khóa trong tay. Không ai ký thay bạn nếu không có thiết bị vật lý đó cộng với PIN. Cất token vào tủ là gần như chắc chắn không có chữ ký nào phát sinh. Với chủ doanh nghiệp muốn kiểm soát tuyệt đối, cảm giác này rất có giá trị. Ngoài ra đây là hình thức được hỗ trợ rộng nhất trên các cổng nghiệp vụ, nên ít khi gặp cảnh "cổng này không chấp nhận".

Điểm yếu thật sự: ký được hay không phụ thuộc vào việc bạn có mặt cạnh cái token. Nó kéo theo cả chuỗi: phải cài driver, phải có cổng USB, phải hợp hệ điều hành, và người ký phải ngồi đúng chỗ. Mất token là rắc rối. Nhiều người cùng cần ký thì phải chuyền tay nhau — mà chuyền tay thì mất dấu trách nhiệm, không ai biết ai đã ký cái gì.

Hợp với: doanh nghiệp nhỏ, một người ký là chính, khối lượng ký vừa phải, làm việc cố định tại văn phòng.

HSM: khóa nằm trong thiết bị bảo mật chuyên dụng

HSM là thiết bị phần cứng chuyên để lưu khóa và thực hiện thao tác ký, đặt trong trung tâm dữ liệu — của nhà cung cấp dịch vụ hoặc của chính doanh nghiệp nếu đủ quy mô. Bạn không cắm gì cả; hệ thống của bạn gọi tới HSM qua mạng để yêu cầu ký.

Điểm mạnh thật sự: tốc độ và khả năng tự động hóa. Đây là điểm mà token không thể theo kịp. Khi doanh nghiệp phát hành hóa đơn số lượng lớn, hoặc cần ký hàng loạt chứng từ theo lô, HSM cho phép phần mềm gọi ký liên tục mà không cần con người ngồi bấm PIN từng lần. Kèm theo đó là khả năng phân quyền và ghi nhật ký chi tiết: ai yêu cầu ký, ký cái gì, lúc nào — thứ mà mô hình chuyền tay token không bao giờ có được.

Điểm yếu thật sự: nó không dành cho mọi người. Cần tích hợp kỹ thuật với hệ thống của bạn, cần người hiểu việc để cấu hình và quản trị, và mô hình chi phí khác hẳn — chịu ảnh hưởng bởi quy mô ký, hình thức triển khai và mức dịch vụ. Một cửa hàng phát hành vài chục hóa đơn mỗi tháng mà dùng HSM là dùng dao mổ trâu.

Hợp với: doanh nghiệp có khối lượng ký lớn, phát hành hóa đơn nhiều, cần ký tự động từ hệ thống, hoặc có yêu cầu kiểm soát và truy vết chặt chẽ.

Ký số từ xa: khóa nằm ở nhà cung cấp, bạn ký qua xác thực

Khóa bí mật của bạn được lưu trong hạ tầng bảo mật của nhà cung cấp dịch vụ. Khi cần ký, bạn xác thực danh tính — thường qua ứng dụng trên điện thoại — và thao tác ký được thực hiện trên hạ tầng đó. Không thiết bị, không driver, không cổng USB.

Điểm mạnh thật sự: ký được ở bất cứ đâu, trên bất cứ máy nào, kể cả điện thoại. Giám đốc đang ở sân bay vẫn ký được hợp đồng. Người dùng macOS không phải vật lộn với driver. Không có cái token nào để quên ở nhà hay làm rơi. Với doanh nghiệp mà người ký hay di chuyển, đây là khác biệt về chất chứ không phải tiện lợi vặt.

Điểm yếu thật sự: phải có mạng mới ký được. Và quan trọng hơn — mức độ chấp nhận của từng cổng nghiệp vụ không đồng đều. Có nghiệp vụ chạy mượt, có nghiệp vụ vẫn quen với token. Đây là thứ phải hỏi kỹ và kiểm chứng trước khi chọn, đừng nghe hứa chung chung. Ngoài ra, một số chủ doanh nghiệp không thoải mái với ý nghĩ khóa của mình nằm ở hạ tầng bên thứ ba, dù về mặt kỹ thuật hạ tầng đó thường được bảo vệ chặt hơn cái tủ ở văn phòng.

Hợp với: người ký hay di chuyển, đội ngũ dùng nhiều loại máy khác nhau, doanh nghiệp muốn nhiều người ký độc lập mà không chuyền tay thiết bị.

Khung chọn: đừng hỏi "cái nào tốt nhất", hỏi ba câu này

Không có hình thức nào tốt hơn hình thức nào. Chỉ có hợp hay không hợp với cách bạn làm việc. Ba câu quyết định:

• Ai ký? Một người duy nhất — token là đủ. Nhiều người cần ký độc lập với trách nhiệm rõ ràng — nghĩ tới từ xa hoặc HSM, đừng chuyền tay một token.
• Ký ở đâu? Luôn ngồi ở văn phòng một máy cố định — token ổn. Di chuyển liên tục, nhiều thiết bị, dùng Mac — ký từ xa giải quyết đúng vấn đề.
• Ký bao nhiêu? Vài chục lần mỗi tháng — token. Ký hàng loạt, ký tự động từ phần mềm, phát hành hóa đơn số lượng lớn — HSM sinh ra cho việc này.

Trả lời ba câu đó trước, rồi mới nói tới nhà cung cấp và chi phí. Làm ngược lại là cách nhanh nhất để mua nhầm.

Giá trị của việc chọn đúng hình thức

Chọn đúng không giúp bạn ký "đẹp hơn" — chữ ký nào hợp lệ cũng có giá trị pháp lý như nhau. Cái bạn được là bỏ đi những ma sát hằng ngày mà lâu nay bạn tưởng là đương nhiên phải chịu.

Không còn cảnh cả công ty chờ một người về để cắm token. Không còn buổi chiều cuối hạn ngồi cài lại driver. Không còn việc kế toán phải nhắn "anh gửi em cái token" rồi token đi xe ôm qua thành phố. Không còn tình huống ký nhầm mà không truy được ai làm.

Cụ thể hơn, cái được thay đổi theo từng hình thức, và đó chính là lý do phải chọn theo mình chứ không theo lời chào:

• Chọn đúng token thì bạn được cảm giác kiểm soát mà không phải trả thêm cho thứ mình không dùng. Doanh nghiệp một người ký, ngồi cố định, ký vài chục lần mỗi tháng mà bị đẩy lên giải pháp lớn là đang mua sự phức tạp.
• Chọn đúng HSM thì bạn được cái mà token không bao giờ cho: hóa đơn ký xong theo lô lúc nửa đêm mà không cần ai ngồi bấm PIN, cộng với nhật ký trả lời được câu "ai đã ký cái này" — thứ vô giá khi có chuyện phải truy lại.
• Chọn đúng ký từ xa thì bạn được gỡ bỏ ràng buộc về chỗ ngồi. Người đại diện không còn là nút thắt cổ chai của cả công ty mỗi lần đi công tác, và mỗi người ký bằng danh tính của chính mình nên trách nhiệm rõ ràng.

Ngược lại, cái giá của việc chọn sai hiếm khi hiện ra ngay. Nó ngấm dần qua từng lần ký hụt, từng đơn hàng chậm hóa đơn, từng buổi kế toán làm thêm giờ vì đợi token. Đến khi chịu hết nổi và muốn đổi, doanh nghiệp lại phải cấp chứng thư mới, đăng ký lại trên các cổng — làm hai lần một việc lẽ ra làm một lần là xong.

Với doanh nghiệp phát hành hóa đơn nhiều, chọn đúng còn là chuyện năng lực vận hành: hình thức ký của bạn quyết định bạn xuất hóa đơn kịp hay không vào giờ cao điểm. Đây là lý do nên bàn chữ ký số cùng lúc với hóa đơn điện tử và phần mềm kế toán, thay vì chọn rời từng món rồi ghép lại. Với hộ kinh doanh và cửa hàng bán lẻ, bài hóa đơn điện tử từ máy tính tiền nói rõ hơn về tình huống ký phát sinh liên tục tại quầy.

Câu hỏi thường gặp

Ba hình thức này có giá trị pháp lý khác nhau không?

Điều quyết định giá trị pháp lý là chữ ký số được tạo bởi chứng thư do tổ chức cung cấp dịch vụ chứng thực hợp lệ cấp và tuân thủ quy định hiện hành cho nghiệp vụ tương ứng — không phải hình thức lưu khóa. Nhưng khả năng được từng cổng nghiệp vụ chấp nhận thì có thể khác nhau, nên cần xác nhận cụ thể theo nghiệp vụ bạn cần.

Doanh nghiệp có thể dùng nhiều hình thức cùng lúc không?

Có, và trên thực tế nhiều nơi làm vậy. Ví dụ dùng HSM để hệ thống ký hóa đơn tự động, đồng thời người đại diện có một chữ ký số riêng để ký hợp đồng khi đi ngoài. Cách bố trí phụ thuộc nhu cầu thật, nên trao đổi cụ thể trước khi đăng ký.

Đang dùng token, muốn chuyển sang ký từ xa có phức tạp không?

Chuyển đổi kéo theo việc cấp chứng thư theo hình thức mới và cập nhật lại thông tin trên các cổng nghiệp vụ đang dùng. Không quá phức tạp nhưng nên tránh làm sát kỳ nộp hồ sơ.

Kết

USB Token, HSM hay ký số từ xa — cả ba đều đang phục vụ tốt những doanh nghiệp khác nhau. Sai lầm không phải chọn nhầm hình thức, mà là chọn mà không biết mình đang chọn.

Nếu bạn muốn có người ngồi hỏi kỹ về cách vận hành thật của mình rồi mới đưa ra khuyến nghị, Soft Space làm đúng việc đó — tư vấn và đồng hành từ khâu chọn chữ ký số Token, làm thủ tục cho tới lúc chạy ổn. Nhắn Zalo 0973608148 hoặc để lại thông tin ở trang liên hệ.