Tạp chí CNTT-TT kỳ 2 tháng 6/2014 đã giới thiệu các nội dung cơ bản về chứng thư sô, chữ ký số nước ngoài được quy định tại Nghị định số 170/2013/NĐ-CP ngày 13/11/2013. Trên thế giới, do sự khác biệt giữa hệ thống pháp lý của các nước và đặc thù của lĩnh vực an toàn thông tin, việc chấp nhận chứng thư số nước ngoài là một vấn đề được mỗi quốc gia xử lý một cách thận trọng. Bài viết này sẽ trao đổi về một số yếu tố cần quan tâm đặc biệt để Nghị đính có thể đi vào cuộc sống, hỗ trợ hiệu quả cho việc cải thiện môi trường đầu tư và hội nhập kinh tế quốc tế.
Mô hình công nhận, chấp nhận chứng thư số, chữ ký số nước ngoài được quy định trong Nghị định số 170/2013/NĐ-CP bao gồm ba phương án là: công nhận chứng thư số, chữ ký số nước ngoài thông qua công nhận tổ chức cung cấp dịch vụ chứng thực chữ ký số (CA) nước ngoài, chấp nhận chứng thư số nước ngoài với các phạm vi sử dụng khác nhau bao gồm chấp nhận trong lãnh thổ Việt Nam và chấp nhận trong giao dịch quốc tế.
Tại Nghị định số 170/2013/NĐ-CP, điều kiện đối với CA nước ngoài cấp các loại chứng thư số được công nhận, chấp nhận được xác định dựa trên 05 tiêu chí cơ bản là:
1)Quốc gia mà CA đăng ký hoạt động có ký kết hoặc tham gia điều ước quốc tế có quy định về việc công nhận chứng thư số, chữ ký số nước ngoài mà Việt Nam có tham gia.
2)Thành lập và hoạt động hợp pháp tại quốc gia mà CA nước ngoài đăng ký hoạt động.
3)Đáp ứng Danh mục tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số do Bộ Thông tin và Truyền thông ban hành hoặc các tiêu chuẩn quốc tế về chữ ký số được Bộ Thông tin và Truyền thông trong quá trình thẩm tra hồ sơ xác định có độ an toàn thông tin tương đương.
4)Có văn phòng đại diện tại Việt Nam.
5)Được doanh nghiệp kiểm toán chứng nhận hoạt động nghiệp vụ tuân thủ các tiêu chuẩn quốc tế có uy tín về dịch vụ chứng thực chữ ký số.
Các tiêu chí này được gắn với các hình thức công nhận, chấp nhận chứng thư số theo một cấu trúc logic, phù hợp với trách nhiệm và mức độ đảm bảo cần thiết đối với mỗi loại hình dịch vụ chứng thực chữ ký số.
Bài viết này phân tích một số yếu tố thành công cốt lõi (Critical Success Factor hay CSF) cần lưu ý đối với các hoạt động liên quan đến chứng thư số nước ngoài được nêu trong Nghị định. Yếu tố thành công cốt lõi là một khái niệm được sử dụng rộng rãi hiện nay khi triển khai các dự án cũng như các chiến lược ở phạm vi lớn. CSF phải được đặc biệt chú ý một cách liên tục để đảm bảo mục tiêu chung có thể đạt được. CSF thường bao gồm các vấn đề quan trọng đối với hoạt động nghiệp vụ hiện tại và thành công trong tương lai.
CSF 1. QUY HOẠCH KHUNG VỀ DỊCH VỤ CHỨNG THỰC CHỮ KÝ SỐ VÀ CHỨNG THỰC ĐIỆN TỬ
Như quy định tại Nghị định số 170/2013/NĐ-CP, một trong các yêu cầu để một CA nước ngoài được công nhận tại Việt Nam là quốc gia mà tổ chức đó đăng ký hoạt động có ký kết hoặc tham gia điều ước quốc tế có quy định về việc công nhận chữ ký số và chứng thư số nước ngoài mà Việt Nam có tham gia.
Thực tế đã chứng minh đây là yêu cầu khó đáp ứng nhất trong số các điều kiện đối với công nhận CA nước ngoài. Hiện tại, Việt Nam chưa tham gia một liên minh, hiệp hội quốc tế nào về chữ ký số. Việc xây dựng hoặc tham gia một điều ước được chấp nhận rộng rãi về chữ ký số đòi hỏi nhiều thời gian vì vấn đề trách nhiệm pháp lý của các nhà cung cấp dịch vụ rất phức tạp và sự khác biệt về luật pháp của các nước trên thế giới. Do đó, việc tiến hành cho phép sử dụng chứng thư số, chữ ký số nước ngoài tại Việt Nam theo phương thức công nhận CA dựa trên các quy định của Nghị định số 26/2007/NĐ-CP chỉ có thể trở thành hiện thực nếu Việt Nam có sự chuẩn bị tốt để khi có điều kiện sẽ tham gia các điều ước quốc tế liên quan đến chữ ký số trong tương lai.
Tiền đề để tiến hành xây dựng, tham gia các thỏa thuận liên quan đến chữ ký số trong quá trình hợp tác, hội nhập kinh tế quốc tế là các quốc gia thành viên ngoài việc nhìn thấy lợi ích chung còn cần đồng thuận về các thuật ngữ, khái niệm về mức độ đảm bảo của dịch vụ chứng thực chữ ký số và độ an toàn thông tin của cơ sở hạ tầng khóa công khai. Nói cách khác, cần có sự ánh xạ giữa các yếu tố kỹ thuật và pháp lý giữa các nước tham gia điều ước. Thực tế đã chứng minh đây là vấn đề phức tạp và cần nhiều thời gian để thảo luận giữa các đối tác.
Mặt khác, việc chấp nhận các thuật ngữ, khái niệm về dịch vụ chứng thực chữ ký số một cách thụ động sẽ dẫn đến một số bất lợi có ảnh hưởng lâu dài trong quá trình thương thảo quốc tế. Ví dụ, khi thay đổi định nghĩa một khái niệm khá thông dụng là xác thực điện tử có thể dẫn đến thay đổi quan trọng trong thủ tục giao dịch quốc tế.
Hiện nay, chứng thư số do các CA công cộng cung cấp đều có hiệu lực, phạm vi sử dụng và mức độ đảm bảo tương đương. Việc quy định một mức độ đảm bảo duy nhất về dịch vụ chứng thực chữ ký số sẽ không đáp ứng được nhu cầu đa dạng về an toàn thông tin cho giao dịch điện tử, dẫn đến gặp khó khăn khi thương thảo với các đối tác quốc tế vì nhiều nước trên thế giới đã thiết lập sự đa dạng này. Vì vậy, cần xây dựng một Quy hoạch khung về dịch vụ chứng thực chữ ký số và chứng thực điện tử với phạm vi sử dụng và mức độ đảm bảo an toàn thông tin khác nhau, đáp ứng nhu cầu thực tế.
Để quy hoạch khung về dịch vụ chứng thực chữ ký số và chứng thực điện tử đáp ứng các yêu cầu với mức độ đảm bảo khác nhau về an toàn thông tin của tất cả các cơ quan, tổ chức và doanh nghiệp đòi hỏi sự nghiên cứu, chuẩn bị, phối hợp và chia sẻ thông tin giữa các bên có liên quan theo chiều sâu và chiều rộng. Nếu không có một cơ chế giám sát chặt chẽ, có thể dẫn đến sự thiếu nhất quán giữa các hiệp ước khác nhau liên quan đến chữ ký số mà Việt Nam có tham gia.
CSF 2. HỖ TRỢ PHÁP LÝ CHO CÁC CƠ QUAN, TỔ CHỨC VÀ DOANH NGHIỆP VIỆT NAM VÊ CHỮ KÝ SỐ TRONG GIAO DỊCH ĐIỆN TỬ VỚI ĐỐI TÁC NƯỚC NGOÀI
Đối với chứng thư số nước ngoài được chấp nhận tại Việt Nam, quy trình để bên nhận chấp nhận một chứng thư số nước ngoài tại Việt Nam đòi hỏi phải cân nhắc dựa trên cả thông tin kỹ thuật đặc thù từ nhà cung cấp dịch vụ cũng như nội dung giấy phép sử dụng chứng thư số do cơ quan quản lý có thẩm quyền cấp. Đối với chứng thư số được chấp nhận trong giao dịch quốc tế, các cơ quan, tổ chức và doanh nghiệp tự lựa chọn, chịu trách nhiệm về việc chấp nhận chứng thư số nước ngoài và gửi chứng thư số đó tới Bộ Thông tin và Truyền thông để quản lý, không cần xin giấy phép trong trường hợp này. Vì vậy, việc hiểu được rõ cách thức sử dụng, chấp nhận chữ ký số cũng như các rủi ro khi giao dịch với đối tác nước ngoài là cần thiết để bảo vệ thuê bao Việt Nam khỏi các thiệt hại về kinh tế và pháp lý.
Kinh nghiệm triển khai trong thời gian vừa qua trong lĩnh vực dịch vụ chứng thực chữ ký số công cộng cho thấy người dùng (thuê bao chứng thư số) trong nước không quan tâm đúng mức đến việc sử dụng loại hình dịch vụ này một cách an toàn. Có một lý do khách quan (tuy không phải là hoàn toàn chính đáng) là: Các ứng dụng chữ ký số công cộng hiện nay còn ở dạng có độ rủi ro thấp. Việc sử dụng chữ ký số chủ yếu dùng để thực hiện nghĩa vụ (ví dụ khai báo thuế) chứ không phải nhận quyền lợi (ví dụ như rút tiền từ tài khoản). Khi chữ ký số được áp dụng trong các giao dịch quốc tế, nhất là các giao dịch thương mại, mức độ rủi ro cao hơn rất nhiều so với các ứng dụng chữ ký số hiện nay đang được triển khai.
Vì vậy, việc Hỗ trợ pháp lý cho các cơ quan, tổ chức và doanh nghiệp Việt Nam về chữ ký số trong giao dịch điện tử với đối tác nước ngoài là một CSF để triển khai Nghị định số 170/2013/NĐ-CP.
CSF 3. QUẢN LÝ THÔNG TIN VÊ cHứNG THƯ SỐ ĐƯỢC CHẤP NHẬN TẠI VIỆT NAM MỘT CÁCH AN TOÀN VÀ CHO PHÉP TRUY CẬP THUẬN TIỆN
Việc triển khai Nghị định số 170/2013/NĐ-CP chỉ có thể được thực hiện hiệu quả trong thực tế nếu xây dựng được một hệ thống kỹ thuật để quản lý chứng thư số nước ngoài được chấp nhận tại Việt Nam và hỗ trợ các cơ quan, tổ chức và doanh nghiệp kiểm tra hiệu lực sử dụng của các chứng thư số này trên lãnh thổ Việt Nam một cách thuận tiện.
Việc xác định một chứng thư số nước ngoài được chấp nhận tại Việt Nam còn hiệu lực sử dụng được tiến hành thông qua việc kiểm tra tính hiệu lực của chứng thư số và việc kiểm tra thời hạn được phép sử dụng chứng thư số đó trên lãnh thổ Việt Nam. Kiểm tra hiệu lực của chứng thư số được thực hiện thông qua việc sử dụng dịch vụ chứng thực chữ ký số thông thường như CRL hay OCSP của CA cung cấp chứng thư số. Thời hạn được phép sử dụng chứng thư số đó trên lãnh thổ Việt Nam được xác thực từ cơ quan nhà nước có thẩm quyền. Cơ chế xác thực cho hai nghiệp vụ này cần được tích hợp một cách chặt chẽ, thông suốt để tạo điều kiện thuận lợi cho thuê bao và bên nhận trong các giao dịch điện tử sử dụng chứng thư số loại này.
Theo Nghị định số 170/2013/NĐ-CP, hệ thống kỹ thuật để quản lý chứng thư số nước ngoài ở Việt Nam được vận hành bởi Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia (Root CA). Tổ chức này sẽ công bố và cập nhật trên trang thông tin điện tử của mình danh sách các CA nước ngoài được công nhận, các CA nước ngoài có chứng thư số đã được chấp nhận tại Việt Nam và các CA nước ngoài có chứng thư số đã được chấp nhận trong giao dịch quốc tế. Việc công bố này giúp các cơ quan, tổ chức và doanh nghiệp Việt Nam lựa chọn CA nước ngoài đạt tiêu chuẩn một cách thuận tiện.
Root CA quốc gia cũng duy trì hệ thống kỹ thuật để quản lý danh sách chứng thư số nước ngoài được chấp nhận tại Việt Nam và trong giao dịch quốc tế, thông tin về các thuê bao được cấp giấy phép sử dụng chứng thư số nước ngoài được chấp nhận tại Việt Nam và các thông tin cần thiết khác phục vụ công tác quản lý nhà nước và sử dụng chứng thư số nước ngoài được chấp nhận. Như đã phân tích trong bài trước, có sự tương đồng trong mô hình quản lý chứng thư số nước ngoài được chấp nhận tại Việt Nam và việc quản lý hộ chiếu, visa cho người nước ngoài vào Việt Nam. Hệ thống quản lý hộ chiếu, visa đã được xây dựng trong một thời gian dài với đầu tư lớn. Bài học và các tình huống liên quan đến nghiệp vụ của công tác quản lý visa có thể được áp dụng cho việc quản lý chứng thư số nước ngoài được chấp nhận tại Việt Nam.
KẾT LUẬN
Việc chấp nhận chứng thư số nước ngoài là một xu thế tất yếu trong thời đại toàn cầu hóa. Tại nước ta, chấp nhận chứng thư số nước ngoài tạo điều kiện cho các doanh nghiệp, cơ quan, tổ chức nước ngoài hoạt động thuận lợi tại Việt Nam cũng như hỗ trợ các hoạt động kinh doanh quốc tế của các doanh nghiệp Việt Nam. Tuy nhiên, để thực hiện thành công chủ trương này đòi hỏi các nỗ lực để tiếp nhận và khai thác một cách chủ động, hiệu quả các dịch vụ chứng thực chữ ký số nước ngoài, chuẩn bị một cách hệ thống các loại hình dịch vụ chứng thực chữ ký số của Việt Nam sẵn sàng tham gia các điều ước quốc tế, chương trình hợp tác có liên quan đến chữ ký số nói riêng và chứng thực điện tử nói chung.
Tài liệu tham khảo
[1].Luật giao dịch điện tử ngày 29/11/2005.
[2].Nghị định số 26/2007/NĐ-CP ngày 15/02/2007 của Chính phủ quy định chi tiết thi hành Luật giao dịch điện tử về CKS và DVCT CKS.
[3].Nghị định số 106/2011/NĐ-CP ngày 23/11/2011 của Chính phủ sửa đổi, bổ sung một số điều của Nghị định số 26/2007/ NĐ-CP ngày 15/02/2007.
[4].Nghị định số 170/2013/NĐ-CP ngày 13/11/2013 của Chính phủ sửa đổi, bổ sung một số điều của Nghị định số 26/2007/ NĐ-CP và Nghị định số 106/2011/NĐ-CP của Chính phủ sửa đổi, bổ sung một số điều của Nghị định số 26/2007/NĐ-CP.
[5].Quyết định số 59/2008/QĐ-BTTTT ngày 31/12/2008 của Bộ trưởng Bộ TTTT ban hành Danh mục tiêu chuẩn bắt buộc áp dụng về CKS và DVCT CKS.
TS. Đào Đình Khả
.png "5 lý do để tăng cường bảo mật mạng")
