Theo Luật Giao dịch điện tử, đơn vị cung cấp dịch vụ chứng thực chữ ký số có trách nhiệm gì?

Tổ chức chứng thực chữ ký số là nền tảng niềm tin của giao dịch điện tử. Bài viết bàn về xác minh danh tính và bảo vệ khóa bí mật.

Tổ chức cung cấp dịch vụ chứng thực chữ ký số giữ vai trò nền tảng trong hệ thống giao dịch điện tử: họ là bên xác nhận rằng một chữ ký số thuộc về một người hoặc tổ chức cụ thể. Nếu niềm tin này bị phá vỡ, toàn bộ chuỗi giao dịch dựa trên nó đều lung lay.

Lưu ý trước: hoạt động cung cấp dịch vụ tin cậy là ngành nghề có điều kiện, chịu điều chỉnh trực tiếp của Luật Giao dịch điện tử và văn bản hướng dẫn. Bài viết bàn về nguyên tắc chung; điều kiện cấp phép và nghiệp vụ cụ thể phải tra văn bản chuyên ngành.

Chữ ký số và giá trị pháp lý

Điều 22 Luật 20/2023/QH15 quy định về chữ ký điện tử và các loại chữ ký điện tử. Điều 25 quy định về công nhận chữ ký điện tử nước ngoài.

Giá trị của cả hệ thống nằm ở một điểm: người nhận văn bản có ký số tin rằng chữ ký đó thực sự của người được ghi trong chứng thư, và nội dung chưa bị thay đổi.

Ba trụ cột kỹ thuật của niềm tin đó: xác minh danh tính chặt chẽ khi cấp; khóa bí mật thực sự chỉ thuộc về chủ thể; và cơ chế thu hồi hoạt động kịp thời.

Xác minh danh tính khi cấp chứng thư

Đây là mắt xích quan trọng nhất. Một chứng thư cấp sai người là lỗi phá hủy niềm tin ở mức gốc rễ.

Tám nguyên tắc:

• Đối chiếu giấy tờ gốc hoặc phương thức xác minh điện tử có độ tin cậy tương đương;
• Kiểm tra tính xác thực của giấy tờ, không chỉ nhận bản chụp;
• Xác minh sự hiện diện của người đăng ký, trực tiếp hoặc qua phương thức chống giả mạo;
• Với tổ chức, xác minh thẩm quyền của người đại diện;
• Chống tấn công bằng ảnh, video giả khi xác minh trực tuyến;
• Ghi nhận đầy đủ quá trình xác minh, lưu chứng cứ;
• Không giao khoán khâu xác minh cho đại lý không đủ năng lực;
• Giám sát chất lượng xác minh của mạng lưới đại lý.

Điểm thứ năm là thách thức ngày càng lớn: công nghệ tạo ảnh và video giả đã đủ tốt để vượt qua các phương thức xác minh trực tuyến đơn giản. Biện pháp phát hiện cần được cập nhật liên tục.

Điểm thứ bảy và thứ tám là rủi ro thực tế của mô hình phân phối qua đại lý: áp lực doanh số khiến khâu xác minh bị làm qua loa.

Bảo vệ khóa bí mật

Nguyên tắc nền tảng: khóa bí mật phải thực sự chỉ thuộc về chủ thể ký. Bảy yêu cầu:

• Tổ chức chứng thực không giữ khóa bí mật của thuê bao, trừ mô hình ký từ xa có quy định riêng;
• Thiết bị lưu khóa đạt chuẩn, khóa không trích xuất được;
• Với mô hình ký từ xa, kiểm soát kích hoạt phải bảo đảm chỉ chủ thể mới ra lệnh ký được;
• Không thao tác ký thay cho thuê bao trong bất kỳ trường hợp nào;
• Hướng dẫn thuê bao bảo quản thiết bị và mã kích hoạt;
• Cảnh báo về rủi ro giao thiết bị ký cho người khác dùng;
• Bảo vệ khóa gốc của chính tổ chức chứng thực ở mức cao nhất.

Điểm thứ tư là vấn đề đạo đức nghề nghiệp cần được khẳng định dứt khoát: mọi hình thức ký hộ đều phá hủy giá trị pháp lý của chữ ký số.

Điểm thứ sáu là thực tế phổ biến ở doanh nghiệp: thiết bị ký của giám đốc nằm trong ngăn kéo kế toán. Tổ chức chứng thực không kiểm soát được điều này nhưng có trách nhiệm cảnh báo rõ về hậu quả.

Điểm thứ bảy là rủi ro tập trung nghiêm trọng nhất: nếu khóa gốc bị lộ, toàn bộ chứng thư đã cấp mất giá trị.

Thu hồi và tra cứu trạng thái

Cơ chế thu hồi là thứ quyết định hệ thống có an toàn thật hay không. Bảy yêu cầu:

• Kênh yêu cầu thu hồi hoạt động liên tục, kể cả ngoài giờ;
• Xử lý nhanh, có cam kết thời gian cụ thể;
• Xác minh người yêu cầu nhưng không để thủ tục làm chậm việc thu hồi khẩn;
• Cập nhật trạng thái lên hệ thống tra cứu ngay;
• Dịch vụ tra cứu trạng thái sẵn sàng cao, không được gián đoạn;
• Ghi nhận thời điểm thu hồi chính xác — nó quyết định chữ ký nào còn giá trị;
• Thông báo cho thuê bao khi chứng thư bị thu hồi.

Điểm thứ năm đáng nhấn mạnh: nếu dịch vụ tra cứu trạng thái ngừng hoạt động, bên nhận văn bản không biết chứng thư còn hiệu lực hay đã bị thu hồi — và giá trị của cả hệ thống mất đi trong thời gian đó.

An ninh hệ thống

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Tám biện pháp: bảo vệ vật lý khu vực đặt hệ thống ký; phân tách nhiệm vụ, không một người nào đủ quyền tự thực hiện thao tác quan trọng; kiểm soát nhiều người cho thao tác với khóa gốc; nhật ký không sửa được; đồng bộ thời gian tin cậy; kiểm thử bảo mật định kỳ bởi bên độc lập; kế hoạch ứng phó sự cố có diễn tập; và kế hoạch chuyển giao khi tổ chức ngừng hoạt động.

Điểm cuối là nghĩa vụ với cộng đồng thường bị bỏ qua: hàng nghìn văn bản đã ký cần vẫn kiểm chứng được sau khi tổ chức chứng thực đóng cửa.

Dữ liệu thuê bao

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Năm nguyên tắc: chỉ thu thập thông tin cần cho việc xác minh và cấp chứng thư; bảo mật giấy tờ định danh đã thu thập; không dùng dữ liệu thuê bao cho mục đích tiếp thị ngoài phạm vi đồng ý; không bán, chia sẻ; và lưu trữ theo thời hạn quy định.

Hỗ trợ thuê bao và minh bạch

Năm nội dung nên công bố rõ và duy trì:

• Quy chế cung cấp dịch vụ dễ tiếp cận, ngôn ngữ rõ ràng;
• Phạm vi trách nhiệm của tổ chức chứng thực khi có thiệt hại;
• Hướng dẫn xử lý khi thuê bao nghi ngờ thiết bị ký bị mất hoặc bị dùng trái phép;
• Kênh hỗ trợ hoạt động ổn định, không để thuê bao mắc kẹt khi cần gấp;
• Thông báo trước khi chứng thư sắp hết hạn, đủ sớm để gia hạn.

Điểm thứ ba là kịch bản khẩn cấp cần được hướng dẫn trước: thuê bao phát hiện mất thiết bị ký lúc nửa đêm cần biết ngay phải làm gì, chứ không phải tìm số điện thoại trong hợp đồng.

Điểm thứ năm giảm rủi ro vận hành cho khách: chứng thư hết hạn giữa lúc đang cần ký hồ sơ đấu thầu hoặc khai thuế gây thiệt hại thật.

Danh sách kiểm tra

• Khâu xác minh có bị giao khoán cho đại lý không?
• Có biện pháp chống ảnh, video giả khi xác minh trực tuyến không?
• Khóa bí mật có trích xuất được khỏi thiết bị không?
• Có trường hợp nào ký thay thuê bao không?
• Kênh thu hồi khẩn cấp có hoạt động ngoài giờ không?
• Dịch vụ tra cứu trạng thái có cam kết sẵn sàng không?
• Có kế hoạch chuyển giao khi ngừng hoạt động không?

Đọc thêm cùng chủ đề

• Tiêu chuẩn kỹ thuật bảo vệ dữ liệu cá nhân là gì?
• Cung cấp và chuyển giao dữ liệu khác nhau thế nào?
• Luật An ninh mạng 2025 áp dụng cho những ai?

Căn cứ pháp lý

• Luật 20/2023/QH15 Điều 22
• Luật 20/2023/QH15 Điều 25
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.