Sổ danh mục chứng chỉ số là một bảng duy nhất ghi mọi chứng chỉ kỹ thuật công ty đang dùng (cho website, máy chủ thư, giao diện lập trình, thiết bị mạng, phần mềm phát hành, chữ ký email), mỗi dòng có ngày hết hạn, nơi cài, nơi giữ khoá bí mật và người chịu trách nhiệm gia hạn. Thiếu sổ này, doanh nghiệp chỉ biết mình có một chứng chỉ khi nó hết hạn và làm hỏng một thứ gì đó. Có sổ, việc gia hạn trở thành việc định kỳ có lịch, không còn là sự cố.
Bài này viết cho người được giao làm đầu mối, thường là IT kiêm nhiệm hoặc người quản trị hệ thống ở công ty vừa và nhỏ. Bài bàn về chứng chỉ phục vụ hệ thống, khác với token chữ ký số dùng ký tờ khai và hợp đồng, vốn đã có quy chế giao giữ riêng. Hai loại có thể nằm chung một sổ nếu công ty muốn, nhưng người phụ trách và cách xử lý thường khác nhau.
Vì sao doanh nghiệp nhỏ cũng cần một sổ danh mục
Một công ty mười lăm người có thể đang dùng nhiều chứng chỉ hơn chủ doanh nghiệp tưởng: website chính, trang bán hàng ở tên miền con, máy chủ thư, cổng kết nối với phần mềm kế toán, hệ thống camera xem từ xa, thiết bị tường lửa có cổng quản trị qua trình duyệt, ứng dụng di động gọi về máy chủ, có khi thêm chứng chỉ ký mã cho phần mềm phát hành cho khách. Mỗi thứ do một người hoặc một bên gia công lắp đặt ở một thời điểm khác nhau.
Khi những chứng chỉ ấy hết hạn, triệu chứng rất khác nhau và thường không nói rõ nguyên nhân: khách báo website không vào được, ứng dụng báo lỗi kết nối, camera không xem được từ xa, phần mềm kế toán ngừng đồng bộ. Người xử lý mất cả buổi để tìm ra đó là chuyện chứng chỉ, rồi mất thêm thời gian tìm ai đang giữ tài khoản và quyền cài đặt.
Sổ danh mục giải quyết đúng phần "không biết mình có gì". Nó không đòi phần mềm đắt tiền; một bảng tính dùng chung, có quyền sửa giới hạn, là đủ cho đa số doanh nghiệp nhỏ. Thứ quan trọng là có một người chịu trách nhiệm giữ cho sổ đúng, và có nhịp rà soát cố định.
Thời hạn tối đa của chứng chỉ website công cộng đang được rút ngắn theo lộ trình chung của ngành, nên số lần thay chứng chỉ mỗi năm tăng lên. Càng nhiều lần thay, càng nhiều cơ hội quên. Đây là lý do việc lập sổ không nên để đến sau sự cố đầu tiên.
Mỗi dòng trong sổ nên có những cột nào
Bảng dưới là bộ cột tối thiểu. Công ty có thể thêm cột tuỳ nhu cầu, nhưng thiếu một trong các cột này thì sổ mất nhiều giá trị khi cần dùng gấp.
| Cột | Ghi gì | Vì sao cần |
|---|---|---|
| Tên hệ thống và mục đích | Website chính, máy chủ thư, cổng kết nối đối tác, ký mã phần mềm… | Người đọc biết hỏng nó thì ảnh hưởng gì |
| Tên miền hoặc chủ thể trên chứng chỉ | Các tên miền, tên con, hoặc tên tổ chức, tên người được cấp | Đối chiếu khi xin lại, tránh sót tên |
| Loại và đơn vị cấp | Xác minh tên miền, tổ chức, mở rộng, ký mã, ký email, chứng chỉ nội bộ | Biết phải xin lại ở đâu, theo hồ sơ gì |
| Ngày hết hạn | Ngày cụ thể, lấy từ chi tiết chứng chỉ, không lấy từ hoá đơn | Căn cứ để đặt lịch nhắc |
| Cách gia hạn | Tự động hay thủ công, công cụ nào, xác minh tên miền bằng cách nào | Biết cần kiểm tra cái gì khi gia hạn hỏng |
| Nơi cài | Máy chủ, thiết bị, dịch vụ trung gian cụ thể | Thay đủ mọi nơi, không sót lớp nào |
| Nơi giữ khoá bí mật | Trên máy chủ, trong thiết bị bảo mật phần cứng, trong kho khoá của dịch vụ | Biết ai có thể đã tiếp cận khoá |
| Người phụ trách và người dự phòng | Tên và vai trò, kể cả bên gia công nếu có | Không phụ thuộc một người duy nhất |
| Tài khoản quản lý | Tài khoản tại đơn vị cấp đứng tên ai, email liên hệ nào | Thư nhắc và quyền gia hạn đi đúng chỗ |
Tuyệt đối không ghi khoá bí mật, mật khẩu hay mã PIN vào sổ. Sổ chỉ ghi khoá nằm ở đâu và ai có quyền tiếp cận. Mật khẩu để trong công cụ quản lý mật khẩu của công ty, phân quyền theo người.
Lần kiểm kê đầu tiên: tìm cho đủ
Phần khó nhất là lần đầu, vì phải tìm những chứng chỉ không ai nhớ. Có thể đi theo các nguồn dưới đây, mỗi nguồn bắt được một nhóm khác nhau.
- Hỏi từng bộ phận và từng bên gia công: họ đã cài chứng chỉ ở đâu, cho hệ thống nào. Ghi lại mọi câu trả lời, kể cả "hình như có".
- Tra nhật ký minh bạch chứng chỉ theo tên miền của công ty để xem toàn bộ chứng chỉ công cộng đã được cấp, kể cả những cái cấp cho tên con mà không ai còn nhớ.
- Rà các tài khoản tại đơn vị cấp chứng chỉ, nhà đăng ký tên miền, dịch vụ cho thuê máy chủ và dịch vụ phân phối nội dung mà công ty đang trả tiền.
- Rà sổ sách kế toán tìm các khoản chi có tên liên quan tới chứng chỉ, bảo mật, tên miền trong vài năm gần đây.
- Kiểm tra giao diện quản trị của thiết bị mạng, tường lửa, tổng đài, máy in mạng, camera xem chứng chỉ đang cài và ngày hết hạn.
- Hỏi đội phát triển phần mềm về chứng chỉ ký mã, chứng chỉ dùng cho ứng dụng di động và chứng chỉ trên môi trường thử nghiệm.
- Gộp tất cả vào sổ, đánh dấu dòng nào chưa rõ người phụ trách để xử lý trong tuần.
Lần kiểm kê đầu thường mất vài ngày làm rải rác. Đổi lại, các lần sau chỉ cần cập nhật, mất vài chục phút mỗi tháng.
Phân vai: ai giữ sổ, ai giữ chứng chỉ
Một đầu mối giữ sổ. Có đúng một người chịu trách nhiệm sổ đúng và đủ. Người này không nhất thiết tự gia hạn mọi chứng chỉ, nhưng phải biết từng chứng chỉ ai lo và nhắc khi đến hạn.
Mỗi chứng chỉ có người phụ trách cụ thể. Người phụ trách là người có quyền và biết cách gia hạn, cài đặt chứng chỉ đó. Với hệ thống do bên gia công vận hành, ghi tên người phụ trách phía họ và người đầu mối phía công ty.
Luôn có người dự phòng. Mọi dòng trong sổ cần thêm một người thứ hai làm được việc khi người chính nghỉ phép hoặc nghỉ việc. Với doanh nghiệp rất nhỏ, người dự phòng có thể là chủ doanh nghiệp, miễn là họ có thông tin đăng nhập và biết tài liệu nằm đâu.
Người quản lý duyệt các thay đổi lớn. Đổi đơn vị cấp, đổi loại chứng chỉ, chuyển sang tự động hay cấp quyền DNS cho phần mềm là những thay đổi nên có người quản lý biết và đồng ý, ghi vào sổ ngày thay đổi.
Ghi rõ trong quy chế. Nếu công ty đã có quy chế quản lý chữ ký số hay quy chế an toàn thông tin, thêm một mục ngắn về chứng chỉ kỹ thuật: ai giữ sổ, nhịp rà soát, việc phải làm khi người phụ trách nghỉ việc.
Nhịp rà soát hằng tháng và hằng năm
Sổ chỉ có ích khi được nhìn đều đặn. Nhịp dưới đây phù hợp với công ty vừa và nhỏ; công ty có nhiều hệ thống có thể làm dày hơn.
- Hằng tuần, tự động: công cụ giám sát kiểm tra hạn của các chứng chỉ công khai từ bên ngoài, gửi cảnh báo vào nhóm chung khi còn dưới ngưỡng đã đặt.
- Hằng tháng: người giữ sổ lọc những dòng sẽ hết hạn trong khoảng hai tháng tới, nhắc người phụ trách, đánh dấu dòng đã gia hạn xong và ghi ngày hết hạn mới.
- Hằng quý: tra lại nhật ký minh bạch chứng chỉ theo tên miền công ty để phát hiện chứng chỉ mới mà sổ chưa có, kể cả chứng chỉ do ai đó xin mà không báo.
- Khi có người nghỉ việc hoặc đổi bên gia công: rà mọi dòng có tên người đó, chuyển người phụ trách, đổi mật khẩu tài khoản liên quan, cân nhắc thay chứng chỉ nếu người đó từng tiếp cận khoá bí mật.
- Hằng năm: đối chiếu sổ với các khoản chi cho chứng chỉ, bỏ những dòng không còn dùng, thu hồi chứng chỉ của hệ thống đã ngừng chạy.
Đừng chỉ dựa vào thư nhắc của đơn vị cấp. Thư nhắc là lớp phòng hờ, sổ và cảnh báo độc lập mới là lớp chính.
Từ bảng tính lên công cụ quản lý: khi nào nên chuyển
Bảng tính đủ dùng khi công ty có dưới vài chục chứng chỉ và phần lớn được gia hạn tự động. Khi số chứng chỉ tăng lên, khi có nhiều bên gia công cùng cài đặt, hoặc khi có yêu cầu kiểm toán an toàn thông tin từ khách hàng lớn, việc chuyển sang công cụ quản lý vòng đời chứng chỉ bắt đầu đáng cân nhắc.
Một công cụ như vậy thường tự dò chứng chỉ trên mạng của công ty, tự đọc ngày hết hạn, gửi cảnh báo và có thể tự gia hạn với một số đơn vị cấp. Bài không giới thiệu sản phẩm cụ thể; khi chọn, hãy hỏi những điều sau: công cụ dò được những loại thiết bị nào, có hỗ trợ giao thức cấp chứng chỉ tự động theo chuẩn mở không, quyền truy cập cần cấp cho công cụ rộng tới đâu, và dữ liệu về chứng chỉ của công ty được lưu ở đâu.
Dù dùng công cụ gì, nguyên tắc vẫn giữ nguyên: có người chịu trách nhiệm, có người dự phòng, có nhịp rà soát. Công cụ chỉ thay phần đếm và nhắc, không thay được phần quyết định ai làm gì.
Câu hỏi thường gặp
Token chữ ký số dùng ký tờ khai có nên ghi chung vào sổ này không?
Có thể ghi chung nếu công ty nhỏ và một người lo cả hai, nhưng nên tách cột loại để phân biệt. Token chữ ký số thường gắn với quy chế giao giữ con dấu, người phụ trách là kế toán hoặc hành chính, khác với chứng chỉ kỹ thuật do IT lo.
Có nên ghi số hiệu chứng chỉ vào sổ không?
Nên ghi, vì số hiệu giúp phân biệt chứng chỉ cũ với chứng chỉ mới cho cùng một tên miền, nhất là khi cần thu hồi đúng cái. Số hiệu là thông tin công khai trong chứng chỉ, không phải bí mật, nên ghi vào sổ không gây rủi ro.
Ai nên có quyền sửa sổ danh mục?
Chỉ người giữ sổ và những người phụ trách chứng chỉ được sửa; những người khác chỉ được xem. Bật lịch sử thay đổi của bảng tính để biết ai sửa dòng nào, khi nào. Sổ không chứa mật khẩu nên quyền xem có thể rộng hơn quyền sửa.
Chứng chỉ trên môi trường thử nghiệm có cần ghi vào sổ không?
Nên ghi, nhất là khi môi trường thử nghiệm dùng chứng chỉ công cộng cho tên miền thật của công ty. Chúng ít ai để ý nên hay bị bỏ quên, và tên con của môi trường thử nghiệm lại xuất hiện công khai trong nhật ký minh bạch chứng chỉ.
Bên gia công không chịu cung cấp danh sách chứng chỉ thì làm sao?
Doanh nghiệp có thể tự tra nhật ký minh bạch chứng chỉ cho tên miền của mình để biết chứng chỉ công cộng nào đã được cấp. Về lâu dài, ghi nghĩa vụ báo cáo danh sách chứng chỉ định kỳ vào hợp đồng gia công.
Sổ danh mục có giúp gì khi khách hàng lớn kiểm tra an toàn thông tin không?
Có. Nhiều bộ câu hỏi đánh giá nhà cung cấp hỏi doanh nghiệp quản lý chứng chỉ và khoá mật mã thế nào. Một sổ danh mục có người phụ trách và nhịp rà soát là bằng chứng cụ thể, dễ trình bày hơn nhiều so với câu trả lời chung chung.