Quy chế chứng thực là văn bản mà tổ chức cung cấp dịch vụ chứng thực chữ ký số công bố công khai, mô tả họ xác minh danh tính người đăng ký ra sao, sinh và bảo vệ khoá bí mật thế nào, xử lý yêu cầu tạm dừng, thu hồi trong bao lâu, cung cấp thông tin trạng thái chứng thư bằng cách nào, và trách nhiệm của họ lẫn của thuê bao. Doanh nghiệp nên đọc ít nhất năm phần: xác minh danh tính, quản lý khoá, thu hồi, thông tin trạng thái và giới hạn trách nhiệm, vì đó là những điểm quyết định ai chịu thiệt khi có chuyện.
Phần lớn doanh nghiệp chỉ đọc hợp đồng mua gói và bảng giá, không bao giờ mở quy chế chứng thực. Đến khi token bị mất, chứng thư bị dùng sai hay hệ thống của nhà cung cấp gián đoạn đúng hạn nộp hồ sơ, họ mới biết quyền và nghĩa vụ của mình đã được viết sẵn trong văn bản đó. Bài không nêu tên nhà cung cấp nào; tên gọi và bố cục văn bản có thể khác nhau, bạn tìm trên trang công bố của nhà cung cấp mình đang dùng.
Quy chế chứng thực là gì và vì sao nó ràng buộc bạn
Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng hoạt động theo giấy phép, và theo quy định phải công khai các chính sách, quy trình cung cấp dịch vụ. Văn bản này thường gọi là quy chế chứng thực, có nơi tách thành chính sách chứng thư và quy chế thực hành. Nó là cam kết của nhà cung cấp với mọi thuê bao và với cả những người dựa vào chứng thư để kiểm tra chữ ký.
Khi bạn ký hợp đồng mua dịch vụ, hợp đồng thường dẫn chiếu tới quy chế chứng thực, nghĩa là các điều khoản trong đó trở thành một phần thoả thuận giữa hai bên. Bạn có nghĩa vụ bảo quản khoá, báo ngay khi nghi lộ, cung cấp thông tin đúng; nhà cung cấp có nghĩa vụ xác minh, bảo vệ hệ thống, thu hồi kịp thời. Khi tranh chấp, đây là văn bản đầu tiên được đem ra so.
Quy chế chứng thực cũng là tài liệu mà đối tác của bạn dựa vào khi quyết định có tin chữ ký của bạn hay không. Một nhà cung cấp có quy trình xác minh danh tính chặt, thu hồi nhanh thì chữ ký do họ cấp cho bạn cũng có sức nặng hơn khi bị đem ra tranh cãi. Vì vậy, đọc quy chế không chỉ để biết quyền của mình, mà còn để đánh giá giá trị của chính thứ bạn đang dùng để ký.
Quy chế chứng thực thường dài và nhiều thuật ngữ kỹ thuật. Không cần đọc hết; người phụ trách chữ ký số của doanh nghiệp chỉ cần nắm các phần ảnh hưởng trực tiếp tới mình, được nêu trong các mục dưới đây.
Năm phần nên đọc và câu hỏi cho từng phần
Bảng gom năm phần quan trọng nhất với doanh nghiệp. Mục nào không tìm thấy câu trả lời, hỏi nhà cung cấp bằng văn bản và lưu câu trả lời.
| Phần trong quy chế | Câu hỏi của doanh nghiệp | Vì sao quan trọng |
|---|---|---|
| Xác minh danh tính khi cấp | Họ kiểm giấy tờ gì, gặp trực tiếp hay trực tuyến, ai được nộp hồ sơ thay doanh nghiệp | Xác minh lỏng thì người khác dễ xin chứng thư mang tên công ty bạn |
| Sinh và lưu khoá bí mật | Khoá sinh trong token hay trên máy chủ của họ, ai có quyền truy cập, sao lưu thế nào | Quyết định khả năng bị lộ khoá và trách nhiệm khi lộ |
| Tạm dừng, thu hồi | Kênh tiếp nhận yêu cầu, giờ làm việc, thời gian xử lý tối đa | Khoảng trễ là khoảng chứng thư bị mất vẫn ký được |
| Thông tin trạng thái chứng thư | Danh sách thu hồi cập nhật bao lâu một lần, có dịch vụ kiểm tra trực tuyến không, cam kết sẵn sàng | Đối tác dựa vào đây để biết chữ ký của bạn còn hợp lệ |
| Trách nhiệm và giới hạn bồi thường | Nhà cung cấp chịu trách nhiệm gì, giới hạn bao nhiêu, loại trừ những trường hợp nào | Quyết định ai chịu thiệt khi có sự cố |
Nếu nhà cung cấp không có quy chế công khai, hoặc không trả lời được các câu hỏi trên, đó là dấu hiệu đáng lo hơn bất kỳ chênh lệch giá nào. Kiểm tra lại tổ chức đó có tên trong danh sách được cấp phép do cơ quan quản lý công bố hay không.
Xác minh danh tính và khoá bí mật: đọc kỹ hai phần này
Ai được đăng ký chứng thư mang tên công ty. Quy chế mô tả giấy tờ cần có và người được nộp hồ sơ thay doanh nghiệp. Nếu chỉ cần bản chụp giấy tờ và một địa chỉ thư, nguy cơ người không có thẩm quyền đứng tên xin chứng thư sẽ cao hơn. Doanh nghiệp nên biết điều này để kiểm định kỳ xem có chứng thư nào mang tên mình mà mình không biết.
Khoá sinh ở đâu. Với token, khoá thường được sinh và nằm trong thiết bị, không xuất ra được. Với ký số từ xa, khoá nằm trên thiết bị an toàn tại máy chủ của nhà cung cấp, bạn điều khiển qua xác thực. Quy chế cần mô tả rõ ai có quyền tiếp cận và biện pháp ngăn chính nhân viên nhà cung cấp dùng khoá của bạn.
Nghĩa vụ bảo quản của thuê bao. Quy chế thường liệt kê nghĩa vụ của bạn: giữ mã PIN, không giao token cho người không có thẩm quyền, báo ngay khi mất hoặc nghi lộ. Vi phạm các nghĩa vụ này có thể khiến bạn tự chịu thiệt hại khi chứng thư bị dùng sai.
Khi đổi người đại diện, người giữ token. Đọc xem quy chế yêu cầu gì khi thông tin trên chứng thư thay đổi: cập nhật, thu hồi rồi cấp mới, hay cho dùng tiếp. Điều này ảnh hưởng trực tiếp tới việc bàn giao trong công ty.
Thu hồi và thông tin trạng thái: chỗ hay bị xem nhẹ
Khi token bị mất hoặc nghi lộ khoá, bạn yêu cầu tạm dừng hoặc thu hồi chứng thư. Quy chế cho biết bạn gửi yêu cầu qua kênh nào, kênh đó có hoạt động ngoài giờ hành chính không, và nhà cung cấp cam kết xử lý trong bao lâu. Khoảng thời gian từ lúc bạn báo đến lúc chứng thư thực sự bị đánh dấu thu hồi là khoảng rủi ro: ai đó cầm token và biết mã PIN vẫn ký được trong khoảng đó.
Thu hồi chỉ có tác dụng khi người kiểm tra chữ ký biết được. Nhà cung cấp công bố trạng thái chứng thư qua danh sách chứng thư bị thu hồi và thường kèm dịch vụ kiểm tra trực tuyến. Quy chế ghi danh sách được cập nhật bao lâu một lần và dịch vụ kiểm tra có cam kết sẵn sàng thế nào. Nếu danh sách chỉ cập nhật thưa, đối tác của bạn có thể vẫn chấp nhận chữ ký từ một chứng thư đã bị thu hồi.
Với doanh nghiệp, hệ quả thực tế là: biết trước số liên lạc khẩn và kênh gửi yêu cầu thu hồi, ghi vào quy chế nội bộ, để khi mất token vào tối thứ sáu không phải tìm lục hợp đồng. Sau khi gửi yêu cầu, lưu lại bằng chứng thời điểm gửi, vì đó là mốc phân định trách nhiệm cho những chữ ký phát sinh sau đó.
Cách đọc một quy chế chứng thực trong một buổi
Người phụ trách chữ ký số của doanh nghiệp nhỏ có thể làm theo trình tự dưới đây, mất khoảng một buổi làm việc.
- Tải bản quy chế chứng thực hiện hành từ trang công bố của nhà cung cấp, ghi lại phiên bản và ngày hiệu lực.
- Đọc mục lục, đánh dấu năm phần trong bảng ở trên.
- Với mỗi phần, ghi ra hai đến ba điểm chính bằng lời của mình, đặc biệt là các con số cam kết như thời gian xử lý thu hồi, tần suất cập nhật danh sách.
- Ghi ra những câu hỏi chưa có câu trả lời rõ, gửi cho nhà cung cấp bằng văn bản.
- Đối chiếu với hợp đồng dịch vụ: hợp đồng có dẫn chiếu quy chế không, có điều khoản nào khác hoặc trái với quy chế không.
- Đưa các điểm liên quan vào quy chế nội bộ quản lý chữ ký số của công ty: kênh báo mất, nghĩa vụ bảo quản, việc cần làm khi đổi người.
- Đặt lịch xem lại khi nhà cung cấp công bố phiên bản quy chế mới, hoặc ít nhất mỗi năm một lần.
Trách nhiệm, bồi thường và khi nhà cung cấp gặp sự cố
Quy chế chứng thực thường giới hạn trách nhiệm bồi thường của nhà cung cấp, và loại trừ những trường hợp thiệt hại do thuê bao không bảo quản khoá hay không báo kịp thời. Đọc phần này giúp bạn biết mức bảo vệ thật sự, và cân nhắc có cần biện pháp bổ sung như dấu thời gian, hay giới hạn loại văn bản được ký bằng một chứng thư.
Một tình huống hay gặp là hệ thống của nhà cung cấp gián đoạn đúng hạn nộp tờ khai, hay dịch vụ ký số từ xa không đăng nhập được. Quy chế và hợp đồng cho biết nhà cung cấp cam kết khôi phục trong bao lâu, có thông báo sự cố không, và có hỗ trợ gì khi bạn bị trễ hạn vì lỗi của họ. Thực tế, trách nhiệm với cơ quan nhận hồ sơ vẫn thuộc về doanh nghiệp, nên giữ lại bằng chứng về sự cố là việc nên làm ngay.
Nếu nhà cung cấp ngừng hoạt động hoặc bị thu hồi giấy phép, quy chế thường mô tả cách chuyển giao thuê bao và dữ liệu trạng thái chứng thư. Khi có tranh chấp về trách nhiệm hay bồi thường với nhà cung cấp, bạn có thể khiếu nại trực tiếp và phản ánh tới cơ quan quản lý; với thiệt hại lớn, nên hỏi luật sư, chẳng hạn hỏi luật sư trên AI Cố Vấn.
Câu hỏi thường gặp
Quy chế chứng thực có bắt buộc phải công bố không?
Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo quy định phải công khai chính sách và quy trình cung cấp dịch vụ. Tên gọi và hình thức văn bản có thể khác nhau giữa các bên. Nếu không tìm thấy, bạn có quyền yêu cầu nhà cung cấp cung cấp bản hiện hành.
Doanh nghiệp nhỏ có cần đọc quy chế chứng thực không?
Không cần đọc hết, nhưng người phụ trách chữ ký số nên nắm năm phần: xác minh danh tính, quản lý khoá, thu hồi, thông tin trạng thái và trách nhiệm. Đây là những điểm quyết định ai chịu thiệt khi token bị mất hay chứng thư bị dùng sai.
Quy chế chứng thực thay đổi thì hợp đồng cũ có bị ảnh hưởng không?
Tuỳ hợp đồng dẫn chiếu quy chế theo phiên bản nào. Nhiều hợp đồng ghi áp dụng phiên bản hiện hành, nghĩa là thay đổi sẽ áp dụng cho bạn. Theo dõi thông báo phiên bản mới và đọc lại các phần quan trọng khi có thay đổi.
Mất token rồi chứng thư bị người khác dùng ký, ai chịu trách nhiệm?
Phụ thuộc thời điểm bạn báo mất, nhà cung cấp xử lý có đúng cam kết không, và bạn có thực hiện nghĩa vụ bảo quản không. Quy chế chứng thực và hợp đồng là căn cứ đầu tiên. Vụ việc thiệt hại lớn nên hỏi luật sư sớm.
Làm sao kiểm tra một chứng thư đã bị thu hồi chưa?
Phần mềm ký số và phần mềm đọc tệp có chữ ký thường tự kiểm tra trạng thái qua danh sách thu hồi hoặc dịch vụ kiểm tra trực tuyến của nhà cung cấp. Bạn cũng có thể tra trên trang của nhà cung cấp theo số hiệu chứng thư.
Có nên chọn nhà cung cấp theo quy chế chứng thực không?
Nên dùng như một tiêu chí bên cạnh giá và hỗ trợ. Quy chế rõ ràng, cam kết thu hồi nhanh, kênh báo mất hoạt động ngoài giờ là dấu hiệu nhà cung cấp nghiêm túc. Quy chế mơ hồ hoặc không công bố là dấu hiệu cần cân nhắc lại.