Token chữ ký số nên được cất trong két hoặc tủ có khoá ngoài giờ làm việc, chỉ cắm vào một hoặc hai máy tính được chỉ định để ký, và rút ra ngay sau khi ký xong. Ba thói quen đó chặn được phần lớn rủi ro thường ngày: token bị lấy đi, bị dùng trên máy nhiễm mã độc, hoặc bị dùng trong lúc người giữ không để ý.
Bài này dành cho người đang trực tiếp cầm token ở công ty nhỏ, thường là kế toán hoặc hành chính, và cho chủ doanh nghiệp muốn biết nên yêu cầu gì. Không có kiến thức kỹ thuật cao nào ở đây, chỉ có những việc làm được ngay. Phần quên PIN, mất token, chứng thư hết hạn đã có hướng dẫn ở nhiều nơi; bài tập trung vào phòng ngừa.
Rủi ro thật sự trông như thế nào
Khi nghĩ đến rủi ro với token, người ta hay hình dung kẻ trộm bẻ khoá văn phòng. Thực tế rủi ro thường giản dị hơn. Token cắm sẵn trên máy kế toán cả ngày, PIN được phần mềm nhớ hộ, ai ngồi vào máy lúc giờ nghỉ trưa cũng ký được. Token để trong ngăn kéo không khoá, nhân viên mới tò mò cầm lên xem. Token mang về nhà làm thêm, để quên trên xe ôm công nghệ.
Rủi ro thứ hai là máy tính. Máy dùng để ký cũng là máy dùng để đọc email, tải tệp đính kèm, cài phần mềm miễn phí. Mã độc trên máy đó có thể ghi lại PIN khi bạn gõ, hoặc ra lệnh ký trong lúc token đang cắm. Không cần kẻ tấn công nào tinh vi; chỉ cần một tệp đính kèm giả hoá đơn được mở ra.
Rủi ro thứ ba là con người bên ngoài: cuộc gọi tự xưng nhân viên nhà cung cấp chữ ký số hoặc cơ quan thuế, đề nghị cài phần mềm điều khiển máy tính từ xa để "cập nhật chứng thư" hay "đồng bộ dữ liệu thuế". Đây là kịch bản lừa đảo đã gặp nhiều lần với doanh nghiệp nhỏ.
Cất token ở đâu
Không cần đầu tư lớn. Chọn mức phù hợp với quy mô và giá trị giao dịch ký bằng token:
| Mức | Cách làm | Hợp với |
|---|---|---|
| Cơ bản | Ngăn kéo có khoá riêng, chìa do người giữ token giữ, chìa dự phòng do giám đốc giữ | Hộ kinh doanh, công ty vài người |
| Khá | Két sắt nhỏ trong phòng kế toán hoặc phòng giám đốc, cất chung với con dấu | Công ty nhỏ, vừa |
| Chặt | Két có sổ mở két, token chỉ lấy ra theo lịch ký, có camera khu vực két | Công ty có nhiều chứng thư, giao dịch lớn |
Cất chung với con dấu là thói quen tốt: hai thứ có vai trò tương đương thì bảo quản ngang nhau, và người giữ két biết rõ trong két có gì.
Ngoài giờ, token không nên nằm trên máy, trong túi áo khoác treo ở ghế, hay trong hộp bút. Nếu phải mang ra ngoài, ghi sổ giao nhận và mang trong túi có khoá riêng.
Chìa khoá két hoặc mã két cũng cần được quản như chính token. Chìa treo trên móc cạnh cửa hay mã két là ngày thành lập công ty thì két chỉ còn tác dụng chống bụi. Khi người biết mã két nghỉ việc, đổi mã két cùng lúc với đổi PIN.
Máy tính dùng để ký: chỉ định, không dùng chung
Chỉ định một hai máy. Phần mềm ký và trình điều khiển token chỉ cài trên máy được chỉ định. Máy khác trong văn phòng không cài, để token cắm vào cũng không ký được.
Cập nhật đầy đủ. Hệ điều hành, trình duyệt, phần mềm ký luôn được cập nhật. Phần mềm ký chỉ tải từ trang chính thức của nhà cung cấp hoặc nhận trực tiếp từ nhân viên của họ, không tải từ đường dẫn gửi qua tin nhắn.
Hạn chế việc khác. Không dùng máy ký để lướt mạng xã hội, xem phim, cài phần mềm bẻ khoá. Email vẫn phải đọc, nhưng cẩn thận với tệp đính kèm lạ, nhất là tệp nén và tệp có đuôi lạ mạo danh hoá đơn.
Khoá màn hình khi rời chỗ. Thói quen rất nhỏ nhưng chặn được kiểu dùng token lúc người giữ đi vắng vài phút.
Không để phần mềm nhớ PIN lâu. Một số phần mềm ký cho phép ghi nhớ PIN trong phiên làm việc. Tiện, nhưng nghĩa là trong suốt phiên đó ai ngồi vào máy cũng ký được. Nếu bật, hãy rút token ngay khi xong việc để phiên kết thúc.
Một phiên ký an toàn, từ đầu đến cuối
Áp dụng cho mỗi lần ký, mất thêm chừng một phút so với cách làm tuỳ tiện:
- Mở hồ sơ cần ký, kiểm nội dung và chắc rằng nó đã được duyệt theo bảng thẩm quyền.
- Lấy token từ nơi cất, ghi sổ nếu quy chế yêu cầu.
- Cắm token vào máy được chỉ định.
- Kiểm thông tin chứng thư hiện trên phần mềm: tên chủ thể, mã số thuế, đúng chứng thư cần dùng chưa.
- Nhập PIN, che bàn phím nếu có người đứng gần.
- Ký, kiểm kết quả trên hệ thống tiếp nhận, lưu bản đã ký và thông báo tiếp nhận.
- Rút token, cất lại nơi bảo quản.
Bước bốn quan trọng ở văn phòng có nhiều token, như công ty có chi nhánh hoặc đơn vị kế toán dịch vụ. Bước bảy là bước hay bị bỏ nhất, vì "lát nữa còn ký tiếp". Lát nữa cắm lại vẫn nhanh hơn xử lý một văn bản bị ký ngoài ý muốn.
Văn phòng giữ nhiều token: tránh cầm nhầm
Mỗi token một túi riêng. Công ty có trụ sở và chi nhánh, hay có cả token công ty lẫn token của công ty con, nên để mỗi token trong một túi nhỏ riêng, đánh mã nội bộ ngắn như "TS" hay "CN1". Không ghi PIN, không ghi tên đầy đủ của công ty lên túi.
Danh sách mã nội bộ để ở chỗ khác. Bảng đối chiếu mã nội bộ với chứng thư nằm trong phụ lục danh mục, không để chung trong két với token. Người lạ cầm được túi cũng không biết token đó dùng cho việc gì.
Không cắm hai token cùng lúc. Khi hai token cùng cắm vào một máy, phần mềm ký có thể hỏi chọn chứng thư, và chọn nhầm là chuyện rất dễ xảy ra lúc vội. Ký xong token này, rút ra, rồi mới cắm token kia.
Kiểm số lượng mỗi cuối ngày. Người giữ két đếm số token trong két trước khi khoá, so với danh sách. Thiếu một chiếc thì tìm ngay trong ngày, không đợi đến kỳ ký sau.
Kiểm định kỳ: năm phút mỗi tháng
Nhiều sự cố với token chỉ được phát hiện khi đã muộn: chứng thư hết hạn đúng hôm nộp, phần mềm ký lỗi sau bản cập nhật hệ điều hành, token bị khoá vì ai đó thử PIN sai. Một lần kiểm ngắn mỗi tháng giúp phát hiện sớm những chuyện này, khi còn thời gian xử lý.
Danh sách kiểm có thể chỉ gồm vài câu: token có đủ trong két không; ngày hết hạn của từng chứng thư còn bao lâu; máy ký đã cập nhật chưa, phần mềm ký còn chạy bình thường không; có ai lạ được cài phần mềm điều khiển từ xa trên máy ký không; sổ giao nhận có dòng nào chưa trả. Người kiểm nên là người khác với người giữ token, ví dụ giám đốc hoặc hành chính, để có thêm một đôi mắt.
Ghi kết quả kiểm vào sổ, dù chỉ là "đủ, không có gì bất thường". Một chuỗi dòng như vậy, nếu sau này có sự cố, cho thấy công ty đã bảo quản token cẩn thận, điều có ích khi phải giải thích với đối tác hoặc cơ quan nhà nước.
Cuộc gọi lạ đề nghị cài phần mềm: xử lý thế nào
Kịch bản thường gặp: một người gọi điện, xưng là nhân viên nhà cung cấp chữ ký số hoặc cán bộ thuế, nói chứng thư của công ty sắp bị khoá, cần cập nhật ngay, và hướng dẫn bạn cài một phần mềm điều khiển máy tính từ xa. Khi đã điều khiển được máy, họ chờ bạn cắm token và gõ PIN, hoặc yêu cầu bạn đọc PIN để "kiểm tra".
Nguyên tắc phòng tránh rất ngắn. Không ai có lý do chính đáng để hỏi PIN của bạn, kể cả nhà cung cấp. Không cài phần mềm điều khiển từ xa theo yêu cầu của người gọi đến. Nếu lo chứng thư thật sự có vấn đề, cúp máy, tự tra số liên hệ trên hợp đồng hoặc trên trang chính thức của nhà cung cấp và gọi lại. Cơ quan thuế không gọi điện yêu cầu doanh nghiệp cài phần mềm lên máy ký.
Nếu lỡ cài, rút ngay token, ngắt mạng máy đó, đổi PIN trên một máy khác sạch, và báo nhà cung cấp. Kiểm tra các hệ thống xem có hồ sơ, hoá đơn nào được ký trong thời gian máy bị điều khiển. Khi có thiệt hại, báo cơ quan công an nơi gần nhất và giữ lại mọi bằng chứng như số điện thoại, tin nhắn, lịch sử cuộc gọi.
Ký số từ xa có bớt được những lo lắng này không
Ký số từ xa không có thiết bị để mất, khoá bí mật nằm ở hạ tầng của nhà cung cấp, mỗi lần ký cần xác nhận trên điện thoại. Vì vậy nó loại bỏ được rủi ro token bị lấy đi hoặc cắm sẵn trên máy. Nhưng nó chuyển rủi ro sang chiếc điện thoại và tài khoản đăng nhập: điện thoại mất mà không có khoá màn hình, hoặc mã xác nhận bị lừa đọc cho người khác, thì hậu quả tương tự.
Với ký số từ xa, các thói quen tương ứng là: khoá màn hình điện thoại bằng mật mã hoặc sinh trắc, không chia sẻ mã xác nhận với ai, đọc kỹ nội dung yêu cầu ký hiện trên ứng dụng trước khi xác nhận, và báo ngay nhà cung cấp khi mất điện thoại. Yêu cầu ký mà bạn không chủ động tạo ra thì từ chối.
Nhiều công ty dùng kết hợp: token cho chứng thư tổ chức dùng kê khai định kỳ, ký số từ xa cho chứng thư cá nhân của người quyết định. Mỗi loại một quy tắc bảo quản, ghi riêng trong quy chế.
Câu hỏi thường gặp
Để token cắm thường trực trên máy kế toán có sao không nếu văn phòng ít người?
Ít người không có nghĩa là không có rủi ro. Token cắm sẵn có thể bị dùng bởi mã độc trên máy, bởi người ngồi vào máy lúc vắng, hoặc bị rơi vỡ. Rút ra sau khi ký là thói quen không tốn gì mà giảm rủi ro đáng kể.
Có nên mang token về nhà để làm thêm giờ không?
Chỉ khi quy chế cho phép và có ghi sổ. Ở nhà, máy tính cá nhân thường không được cập nhật kỹ và có nhiều người dùng chung. Nếu thường xuyên phải ký ngoài giờ, cân nhắc chứng thư ký số từ xa cho người có thẩm quyền thay vì mang token đi lại.
Token bị rơi vỡ hoặc ngấm nước thì khoá bí mật có bị lộ không?
Token hỏng vật lý thường chỉ khiến không dùng được nữa, vì khoá bí mật được thiết kế để không lấy ra khỏi chip. Tuy vậy, hãy liên hệ nhà cung cấp để được hướng dẫn thu hồi hoặc cấp lại, và ghi sự việc vào sổ, vì công ty cần chứng thư thay thế trước kỳ nộp tiếp theo.
Phần mềm diệt virus có đủ để bảo vệ máy ký không?
Phần mềm diệt virus có ích nhưng không đủ một mình. Cập nhật hệ điều hành, hạn chế cài phần mềm lạ, cẩn thận với tệp đính kèm và rút token sau khi ký là những lớp bảo vệ khác cùng quan trọng. Không có biện pháp đơn lẻ nào chặn được mọi rủi ro.
Có nên ghi PIN vào trình quản lý mật khẩu không?
Một trình quản lý mật khẩu tử tế, có mật khẩu chính mạnh và không dùng chung, an toàn hơn nhiều so với tờ giấy dán cạnh máy. Tuy vậy, đừng lưu PIN trong trình duyệt của chính máy ký, vì mã độc trên máy đó có thể đọc được.
Nhà cung cấp gửi email yêu cầu cập nhật chứng thư qua đường dẫn, có tin được không?
Hãy cẩn thận. Email giả mạo nhà cung cấp rất dễ làm. Thay vì bấm đường dẫn trong email, tự mở trang chính thức của nhà cung cấp hoặc gọi số trên hợp đồng để hỏi. Nếu thông báo là thật, thông tin sẽ có trên kênh chính thức của họ.