Dịch vụ chứng thực chữ ký số công cộng phải làm những gì?

Năm nhóm hoạt động bắt buộc của tổ chức cung cấp dịch vụ, trong đó có một quy định bảo vệ người dùng đáng chú ý: cấm dùng rào cản kỹ thuật để hạn chế kiểm tra hiệu lực chữ ký.

Doanh nghiệp mua chữ ký số thường chỉ quan tâm giá và thời hạn. Nhưng Luật Giao dịch điện tử đặt ra một loạt nghĩa vụ cho nhà cung cấp — biết những nghĩa vụ này giúp doanh nghiệp chọn đúng và biết đòi hỏi gì khi có sự cố.

Dịch vụ này là gì

Khoản 1 Điều 33 Luật 20/2023/QH15 định nghĩa ngắn gọn: Dịch vụ chứng thực chữ ký số công cộng là dịch vụ chứng thực chữ ký số trong hoạt động công cộng.

Khoản 2 xác định: Chứng thư chữ ký số công cộng được cung cấp bởi tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo quy định của Luật này.

"Công cộng" ở đây phân biệt với chữ ký số chuyên dùng công vụ — loại dành cho cơ quan nhà nước, quy định tại Điều 24. Doanh nghiệp và người dân thông thường dùng chữ ký số công cộng.

Năm nhóm hoạt động bắt buộc — khoản 3

Khoản 3 Điều 33 liệt kê các hoạt động mà tổ chức cung cấp dịch vụ phải thực hiện:

Điểm a — phát hành và duy trì hiệu lực

Phát hành chứng thư chữ ký số công cộng để xác nhận và duy trì trạng thái hiệu lực chứng thư chữ ký số công cộng của chủ thể ký thông điệp dữ liệu.

Hai việc trong một: phát hành và duy trì trạng thái hiệu lực. Việc thứ hai là nghĩa vụ liên tục suốt vòng đời chứng thư, không phải bán xong là hết.

Điểm b — thu hồi

Thu hồi chứng thư chữ ký số công cộng.

Thu hồi là cơ chế bảo vệ khi khóa bí mật bị lộ hoặc thông tin chủ thể thay đổi. Doanh nghiệp cần biết quy trình thu hồi của nhà cung cấp mình đang dùng — liên hệ ai, mất bao lâu, ngoài giờ hành chính có xử lý không. Khi khóa bị lộ, mỗi giờ chậm trễ là một giờ rủi ro.

Điểm c — kiểm tra hiệu lực, và một quy định bảo vệ đáng chú ý

Kiểm tra hiệu lực chữ ký số công cộng và duy trì trạng thái hiệu lực của chứng thư chữ ký số công cộng; không sử dụng rào cản kỹ thuật, công nghệ để hạn chế việc kiểm tra hiệu lực chữ ký số công cộng.

Vế sau là quy định chống khóa chặt khách hàng. Trước đây từng có tình trạng chữ ký số của nhà cung cấp A khó kiểm tra trên phần mềm của nhà cung cấp B, buộc các bên trong giao dịch phải dùng chung một nhà cung cấp. Luật cấm rõ hành vi này.

Với doanh nghiệp, đây là căn cứ để yêu cầu nhà cung cấp bảo đảm chữ ký số của mình kiểm tra được bằng công cụ phổ thông. Nếu đối tác báo không kiểm tra được chữ ký của bạn, đó là vấn đề của nhà cung cấp, và bạn có cơ sở pháp lý để yêu cầu khắc phục.

Điểm d — cung cấp thông tin

Cung cấp thông tin cần thiết để chứng thực chữ ký số công cộng.

Điểm đ — liên thông quốc gia

Liên thông với tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia để bảo đảm cho việc kiểm tra hiệu lực chữ ký số công cộng.

Điểm đ tạo ra một điểm kiểm chứng chung. Nhờ liên thông, việc xác minh chữ ký số không phụ thuộc hoàn toàn vào hệ thống riêng của từng nhà cung cấp.

Yêu cầu kỹ thuật — khoản 4

Khoản 4 Điều 33 quy định: Chứng thư chữ ký số công cộng, chữ ký số công cộng phải đáp ứng quy chuẩn kỹ thuật, yêu cầu kỹ thuật đối với chữ ký số và dịch vụ chứng thực chữ ký số theo quy định của pháp luật.

Khoản 5 giao Chính phủ quy định chi tiết Điều này.

Hai dịch vụ liên quan thường bị nhầm

Điều 32 Luật 20/2023/QH15 quy định về một nhóm dịch vụ khác — dịch vụ chứng thực thông điệp dữ liệu, gồm hai loại:

Dịch vụ lưu trữ và xác nhận tính toàn vẹn của thông điệp dữ liệu;
Dịch vụ gửi, nhận thông điệp dữ liệu bảo đảm.

Đây là dịch vụ khác với chứng thực chữ ký số. Chứng thực chữ ký số xác nhận ai ký; chứng thực thông điệp dữ liệu xác nhận nội dung không bị thay đổi và việc gửi nhận đã diễn ra.

Trong tranh chấp hợp đồng, hai loại bằng chứng này bổ sung cho nhau. Chữ ký số chứng minh bên kia đã ký; dịch vụ gửi nhận bảo đảm chứng minh bên kia đã nhận được thông báo.

Còn dịch vụ cấp dấu thời gian tại Điều 31 xác nhận thời điểm. Ba dịch vụ, ba câu hỏi khác nhau — ai, cái gì, khi nào.

Chọn nhà cung cấp chữ ký số — những câu nên hỏi

Quy trình thu hồi khẩn cấp thế nào? Có kênh xử lý ngoài giờ không, cam kết thời gian bao lâu;
Chữ ký của tôi kiểm tra được bằng công cụ nào? Yêu cầu nhà cung cấp nêu rõ, đối chiếu với điểm c khoản 3 Điều 33;
Đã liên thông với tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia chưa?
Có cung cấp dịch vụ cấp dấu thời gian không? Nếu ngành của bạn cần dấu thời gian, dùng chung một nhà cung cấp sẽ tiện hơn;
Chính sách khi chứng thư hết hạn — các tài liệu đã ký trước đó còn kiểm tra được không;
Hỗ trợ kỹ thuật — kênh nào, thời gian phản hồi cam kết bao lâu.

Ba tình huống thực tế và cách xử lý

Nhân viên giữ chữ ký số nghỉ việc

Đây là tình huống phổ biến nhất và cũng bị xử lý cẩu thả nhất. Chứng thư chữ ký số gắn với một chủ thể xác định. Khi người giữ khóa rời doanh nghiệp, nếu chứng thư đứng tên cá nhân người đó thì phải thu hồi theo điểm b khoản 3 Điều 33; nếu đứng tên tổ chức thì phải đổi khóa và kiểm soát lại quyền truy cập.

Sai lầm thường gặp là bàn giao thiết bị chữ ký số cho người kế nhiệm mà không đổi mã kích hoạt, cũng không ghi nhận việc bàn giao. Về sau, khi cần xác định ai đã ký một tài liệu, doanh nghiệp không có căn cứ nào.

Thực hành nên áp dụng: lập sổ theo dõi chữ ký số — ai giữ, từ ngày nào, dùng cho việc gì; mỗi lần bàn giao đều lập biên bản; đổi mã kích hoạt sau mỗi lần chuyển giao.

Đối tác báo không kiểm tra được chữ ký

Trước hết cần xác định lỗi nằm ở đâu: chứng thư đã hết hạn hay bị thu hồi, hay công cụ phía đối tác không đọc được. Trường hợp thứ hai chính là thứ điểm c khoản 3 Điều 33 nhắm tới khi cấm dùng rào cản kỹ thuật, công nghệ để hạn chế kiểm tra hiệu lực.

Cách xử lý: gửi yêu cầu bằng văn bản tới nhà cung cấp dịch vụ của mình, nêu rõ đối tác dùng công cụ gì và kết quả báo lỗi ra sao, viện dẫn điểm c khoản 3 Điều 33 Luật 20/2023/QH15. Đồng thời đề nghị nhà cung cấp xác nhận việc đã liên thông với tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia theo điểm đ.

Cần chứng minh thời điểm ký nhiều năm sau

Chữ ký số có thời hạn, nhưng tranh chấp hợp đồng có thể phát sinh sau khi chứng thư đã hết hạn từ lâu. Đây là lúc dấu thời gian tại Điều 31 phát huy giá trị: nó ghi nhận thời điểm tổ chức cấp dấu nhận được thông điệp, được chứng thực bởi chính tổ chức đó, và dựa trên nguồn thời gian chuẩn quốc gia theo khoản 4.

Với hợp đồng có giá trị lớn hoặc thời hạn dài, chi phí cấp dấu thời gian là khoản đầu tư nhỏ so với rủi ro không chứng minh được thời điểm giao kết.

Phân biệt nhanh ba loại dịch vụ tin cậy

Chứng thực chữ ký số (Điều 33) — trả lời câu hỏi ai ký. Cần khi phải ràng buộc một chủ thể cụ thể vào nội dung;
Cấp dấu thời gian (Điều 31) — trả lời câu hỏi ký lúc nào. Cần khi thời điểm có ý nghĩa pháp lý: hạn nộp hồ sơ, thứ tự ưu tiên, thời hiệu;
Chứng thực thông điệp dữ liệu (Điều 32) — trả lời câu hỏi nội dung có nguyên vẹn không và đã gửi nhận chưa. Cần khi tranh chấp xoay quanh việc thông báo đã được gửi hay chưa.

Trong nhiều giao dịch, doanh nghiệp cần cả ba. Việc chỉ mua chữ ký số rồi cho rằng đã đủ là một khoảng trống hay gặp.

Câu áp chót đáng chú ý hơn vẻ ngoài. Chữ ký số hết hạn không làm mất giá trị của tài liệu đã ký hợp lệ trước đó, nhưng khả năng kiểm tra lại phụ thuộc vào việc nhà cung cấp còn duy trì thông tin trạng thái hay không. Với hợp đồng dài hạn, đây là câu hỏi phải hỏi trước khi ký hợp đồng dịch vụ.

Luật Giao dịch điện tử 20/2023/QH15 có hiệu lực thi hành từ ngày 01/7/2024.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 20/2023/QH15 Điều 33
Luật 20/2023/QH15 Điều 32
Luật 20/2023/QH15 Điều 31

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật Giao dịch điện tử, dịch vụ chứng thực chữ ký số công cộng phải làm những gì?