Khi làm mất USB token chữ ký số, việc phải làm đầu tiên là liên hệ nhà cung cấp để đề nghị tạm dừng hoặc thu hồi chứng thư, sau đó mới tính chuyện tìm lại hay xin cấp mới. Lý do đơn giản: chừng nào chứng thư còn hiệu lực, ai cầm token và biết mã PIN đều ký được văn bản đứng tên bạn hoặc công ty bạn. Mã PIN không phải tấm khiên tuyệt đối, vì nhiều người dán mã ngay trên vỏ token, lưu trong điện thoại hay đặt mã dễ đoán.
Bài dưới đây xếp việc theo thứ tự thời gian, áp cho token của doanh nghiệp lẫn của cá nhân. Thủ tục cụ thể, giấy tờ xác minh và thời gian xử lý do từng nhà cung cấp quy định trong hợp đồng; bạn đối chiếu với hợp đồng và kênh hỗ trợ chính thức của bên mình. Nếu đã có dấu hiệu token bị dùng để ký văn bản bạn không biết, phần cuối bài nói tới việc lưu chứng cứ và khi nào nên nhờ người làm nghề.
Vì sao tạm dừng chứng thư trước, tìm token sau
Token chỉ là vật chứa. Thứ có giá trị là khoá bí mật bên trong, gắn với chứng thư mang tên bạn. Khi token nằm ngoài tầm kiểm soát, bạn không biết ai đang giữ nó, họ có biết mã PIN không, và họ có định dùng không. Tạm dừng hoặc thu hồi chứng thư là cách duy nhất để mọi chữ ký tạo ra từ thời điểm đó bị hệ thống kiểm tra từ chối.
Nhiều người ngại thu hồi vì sợ phải làm lại hồ sơ, đăng ký lại trên các cổng, tốn tiền cấp mới. Những chi phí đó có thật, nhưng nhỏ so với rủi ro một hợp đồng, một tờ khai hay một lệnh chuyển tiền được ký bằng tên công ty mà công ty không hề biết. Nếu sau đó tìm lại được token và chắc chắn nó chưa rời tay người của mình, một số nhà cung cấp cho khôi phục chứng thư đã tạm dừng; chứng thư đã thu hồi thì không khôi phục được.
Vì vậy câu hỏi đúng không phải "token có thể đang ở đâu" mà là "từ giờ tới lúc tìm thấy, ai có thể đang ký bằng tên mình". Nếu câu trả lời là "không chắc", hãy tạm dừng.
Thứ tự việc làm trong 24 giờ đầu
Các bước dưới đây giả định token của doanh nghiệp. Với token cá nhân, bạn tự làm các bước, bỏ phần báo nội bộ.
- Giờ đầu tiên: xác nhận token thật sự không còn ở chỗ quen thuộc, hỏi nhanh những người có thể đang giữ. Không quá một giờ cho việc này.
- Ngay sau đó: liên hệ nhà cung cấp qua kênh hỗ trợ chính thức ghi trong hợp đồng, đề nghị tạm dừng chứng thư. Chuẩn bị sẵn tên tổ chức, mã số, số hiệu chứng thư nếu có, thông tin người đề nghị.
- Làm theo yêu cầu xác minh: nhà cung cấp cần chắc người đề nghị có quyền, nên có thể yêu cầu văn bản đề nghị có chữ ký người đại diện, giấy tờ tuỳ thân, hoặc xác minh qua thông tin đã đăng ký.
- Báo nội bộ: chủ doanh nghiệp, kế toán trưởng và những người thường ký số biết chứng thư đã tạm dừng, không ai cố ký bằng nó nữa.
- Rà giao dịch gần đây: xem trên các cổng thuế, bảo hiểm, hoá đơn, ngân hàng có hồ sơ hay giao dịch nào được ký mà công ty không biết.
- Ghi biên bản sự việc: thời điểm phát hiện mất, nơi cất trước đó, ai giữ, đã liên hệ nhà cung cấp lúc mấy giờ, mã yêu cầu nếu có.
- Quyết định: tìm thấy và chắc chắn an toàn thì hỏi về khôi phục; không tìm thấy hoặc không chắc thì đề nghị thu hồi hẳn và xin cấp mới.
Nếu mất token ngoài giờ hành chính, hãy thử mọi kênh hỗ trợ mà nhà cung cấp công bố, gửi yêu cầu bằng văn bản điện tử để có dấu thời gian, rồi gọi lại khi họ mở cửa. Việc gửi sớm có giá trị chứng minh bạn đã chủ động ngay khi biết.
Ai làm gì khi token của công ty bị mất
Mất token là sự cố của cả tổ chức chứ không riêng người giữ. Phân việc rõ giúp không ai ngồi chờ người khác.
| Người | Việc chính | Cần giữ lại |
|---|---|---|
| Người giữ token | Báo ngay khi phát hiện, kể lại lần cuối thấy token, nơi để mã PIN nếu có ghi lại | Bản tường trình ngắn |
| Người đại diện theo pháp luật | Ký đề nghị tạm dừng hoặc thu hồi, quyết định cấp mới | Văn bản đề nghị đã gửi nhà cung cấp |
| Kế toán trưởng hoặc người phụ trách các cổng | Rà giao dịch, hồ sơ đã ký gần đây trên từng hệ thống | Danh sách giao dịch đã rà, ảnh chụp lịch sử |
| Người phụ trách hành chính | Kiểm tra camera, sổ ra vào nếu mất tại văn phòng | Ghi chép, trích xuất nếu có |
| Người quản lý quy chế chữ ký số | Cập nhật sổ quản lý, rút kinh nghiệm nơi cất giữ | Bản sổ đã cập nhật |
Công ty nhỏ có thể chỉ một hai người gánh hết các vai trên. Điều quan trọng là ghi lại, vì những ghi chép trong ngày đầu là thứ khó dựng lại nhất về sau.
Mất token khác mất chìa khoá nhà ở chỗ nào
Không ai biết token đã bị dùng hay chưa. Chìa khoá bị dùng thì cửa mở, đồ mất. Token bị dùng thì không để lại dấu vết gì trên chính token; dấu vết nằm ở các hệ thống nơi văn bản được nộp hoặc gửi đi. Phải đi rà từng nơi.
Chữ ký số có giá trị pháp lý như chữ ký tay và con dấu. Theo nguyên lý của pháp luật giao dịch điện tử, văn bản ký số hợp lệ có giá trị ràng buộc người ký. Người lạ ký bằng chứng thư của bạn trước khi bạn kịp tạm dừng có thể đẩy bạn vào thế phải chứng minh mình không ký.
Thời điểm báo mất là mốc quan trọng. Trách nhiệm của các bên thường được xem xét theo thời điểm chủ thuê bao biết mất và báo cho nhà cung cấp. Báo càng sớm, khoảng thời gian bạn phải tự gánh rủi ro càng ngắn.
Mã PIN ghi kèm token làm mọi thứ nặng hơn. Nếu mã PIN được dán trên vỏ hoặc để chung túi, người nhặt được token có đủ mọi thứ để ký. Đây là thói quen phổ biến cần bỏ.
Khi có dấu hiệu token đã bị dùng
Nếu khi rà soát bạn thấy hồ sơ, hoá đơn hay hợp đồng được ký bằng chứng thư của mình mà không ai trong công ty làm, đừng xoá hay sửa gì trên hệ thống. Chụp lại màn hình, tải về bản gốc của văn bản đã ký, ghi thời điểm ký hiển thị, nơi văn bản được nộp hoặc gửi. Những thứ này là chứng cứ điện tử, và cách lưu giữ ban đầu ảnh hưởng tới giá trị chứng minh sau này.
Tiếp theo, báo cho cơ quan hoặc đối tác đã nhận văn bản đó rằng chứng thư của bạn bị mất kiểm soát từ thời điểm nào, đề nghị họ tạm chưa xử lý văn bản. Nếu văn bản liên quan tới tiền, như lệnh chuyển khoản hay hợp đồng mua bán, báo ngân hàng và đối tác ngay. Trường hợp nghi có hành vi chiếm đoạt hay giả mạo, bạn có thể trình báo cơ quan công an nơi xảy ra sự việc.
Đây là lúc nên có người làm nghề đi cùng. Một luật sư có kinh nghiệm về giao dịch điện tử giúp bạn xác định trách nhiệm giữa bạn, nhà cung cấp và người nhận văn bản, cũng như cách giữ chứng cứ cho đúng. Bạn có thể hỏi luật sư trên AI Cố Vấn để có hướng đi ban đầu trước khi quyết định thuê người làm.
Mất token cá nhân: những điểm khác với token công ty
Với chữ ký số cá nhân, bạn vừa là người giữ, vừa là chủ thuê bao, nên không cần chờ ai ký đề nghị. Đổi lại, bạn phải tự nhớ chứng thư của mình đang được đăng ký ở đâu: cổng dịch vụ công, tài khoản chứng khoán, nền tảng hợp đồng lao động điện tử của công ty nơi bạn làm, hệ thống của trường hay bệnh viện nếu bạn là giáo viên, bác sĩ ký hồ sơ số. Mỗi nơi cần được báo hoặc cập nhật khi có chứng thư mới.
Nếu chứng thư cá nhân của bạn là loại có tên tổ chức nơi làm việc, tức công ty đứng ra đăng ký cho bạn để ký văn bản thay mặt bộ phận, hãy báo ngay cho người quản lý chứng thư số của công ty. Trong trường hợp đó, công ty thường là bên đề nghị thu hồi và cấp lại, bạn chỉ phối hợp xác minh.
Mất token cùng lúc với mất ví, mất giấy tờ tuỳ thân là tình huống hay gặp. Lúc đó việc xác minh với nhà cung cấp chậm hơn vì bạn chưa có giấy tờ. Hãy vẫn gửi đề nghị tạm dừng ngay bằng những thông tin bạn có, ghi rõ đang làm lại giấy tờ, rồi bổ sung sau. Thời điểm gửi đề nghị đầu tiên mới là mốc quan trọng.
Sau sự cố: cấp mới và sửa chỗ hở
Khi chứng thư cũ đã thu hồi, việc cấp mới diễn ra gần như lần đầu. Tận dụng dịp này để vá những chỗ đã làm token bị mất.
- Xin cấp chứng thư mới, chuẩn bị giấy tờ như hồ sơ cấp lần đầu; hỏi nhà cung cấp có rút gọn gì cho khách hàng cũ không.
- Đăng ký chứng thư mới trên mọi hệ thống, dùng danh sách hệ thống đã rà ở bước trước để không sót.
- Đặt mã PIN mới đủ khó đoán, không ghi trên token, không gửi qua tin nhắn.
- Quy định nơi cất token: tủ có khoá, sổ giao nhận khi mang ra ngoài, không để trong túi laptop dùng chung.
- Cân nhắc có phải mang token ra khỏi văn phòng không; nếu thường xuyên phải ký ở nhiều nơi, xem xét hình thức ký số từ xa có xác thực trên điện thoại.
- Ghi sự cố vào sổ quản lý chứng thư để lần sau có tiền lệ xử lý.
Mỗi công ty có quy chế quản lý chứng thư số riêng; nếu chưa có, sự cố mất token thường là lúc dễ thuyết phục ban lãnh đạo ban hành một quy chế như vậy nhất.
Câu hỏi thường gặp
Mất token nhưng chưa ai biết mã PIN thì có cần thu hồi chứng thư không?
Nên ít nhất tạm dừng. Bạn không chắc chắn được người nhặt token không biết mã PIN, và nhiều mã PIN khá dễ đoán. Tạm dừng cho bạn thời gian tìm token; nếu tìm thấy và chắc chắn an toàn, có thể hỏi nhà cung cấp về khôi phục.
Ai được quyền đề nghị thu hồi chứng thư số của công ty?
Thông thường là chủ thuê bao, tức tổ chức đứng tên chứng thư, thông qua người đại diện theo pháp luật hoặc người được uỷ quyền hợp lệ. Nhà cung cấp sẽ xác minh người đề nghị có quyền để tránh trường hợp người ngoài đề nghị thu hồi chứng thư của doanh nghiệp khác.
Thu hồi chứng thư có làm các văn bản đã ký trước đó mất giá trị không?
Không, với văn bản ký trước thời điểm thu hồi. Thu hồi chỉ khiến chữ ký tạo ra sau thời điểm đó không hợp lệ. Vì thế ghi lại chính xác thời điểm đề nghị thu hồi rất quan trọng.
Mất token có phải báo cơ quan thuế không?
Tự việc mất token thường không có thủ tục báo riêng. Việc cần làm là đăng ký chứng thư mới trên cổng thuế để nộp hồ sơ tiếp. Nếu phát hiện có hồ sơ thuế được nộp mà công ty không biết, nên liên hệ cơ quan thuế quản lý để trình bày.
Tìm lại được token sau khi đã thu hồi thì dùng tiếp được không?
Chứng thư đã thu hồi thì không dùng lại được. Thiết bị token có thể được nạp chứng thư mới nếu nhà cung cấp cho phép, nhưng phải hỏi họ trước. Chứng thư mới có số hiệu khác và phải đăng ký lại trên các hệ thống.
Nhân viên làm mất token của công ty có phải bồi thường không?
Tuỳ nội quy lao động, quy chế quản lý tài sản và hợp đồng lao động của công ty, cùng quy định pháp luật lao động về bồi thường thiệt hại. Không có câu trả lời chung; nếu thiệt hại lớn và hai bên không thống nhất, nên hỏi người làm nghề về lao động.