Cách bảo mật USB Token và mã PIN chữ ký số

USB Token và mã PIN cần được quản lý như một phương tiện ký, không phải chỉ như phụ kiện máy tính. Người giữ Token, người biết PIN và người kiểm tra nội dung trước khi ký phải được xác định rõ. Nếu một trong ba việc này mơ hồ, doanh nghiệp có nguy cơ ký nhầm hoặc khó truy vết trách nhiệm.

Bài viết đưa ra quy trình thực hành cho tổ chức đang dùng chữ ký số USB Token. Các nguyên tắc áp dụng cho nhiều nhà cung cấp; tên menu, số lần nhập sai và thủ tục cấp lại cần xác nhận theo dịch vụ đang dùng. Xem thêm giải pháp chữ ký số trên THUEAZ trước khi lựa chọn hoặc gia hạn dịch vụ.

Vì sao USB Token và PIN phải được quản lý cùng nhau?

USB Token là thiết bị người dùng kết nối với máy tính để thực hiện quy trình ký. Hướng dẫn cài đặt CA2 do NEAC đăng tải mô tả việc cắm Token và dùng phần mềm quản lý; bài hướng dẫn cũng khuyến nghị mật khẩu mới có cả số và chữ. Tài liệu được đăng năm 2021 nên chỉ dùng để hiểu luồng cơ bản, không dùng để suy đoán giao diện hay chính sách hiện hành của mọi nhà cung cấp.

Thiết bị bị cất riêng nhưng PIN được ghi ngay cạnh, gửi qua chat hoặc để nhiều người cùng biết thì vẫn không đạt mục tiêu kiểm soát. Ngược lại, chỉ giữ PIN nhưng không biết Token đang ở ai cũng khiến doanh nghiệp không thể xử lý nhanh khi thay đổi nhân sự hoặc mất thiết bị.

Quy tắc tối thiểu cho người dùng

• Không gửi PIN, ảnh màn hình mã PIN hoặc mã mở khóa qua nhóm chat, email thông thường hay phiếu bàn giao công khai.
• Không cho người khác ký hộ khi chưa xem đúng hồ sơ, dù người đó là kế toán, nhân viên IT hoặc đối tác dịch vụ.
• Không cắm Token vào máy công cộng, máy lạ hoặc thiết bị không do doanh nghiệp kiểm soát.
• Chỉ cắm Token vào lúc cần xử lý; sau khi xong, rút thiết bị và cất vào nơi đã quy định.
• Không thử nhiều mã PIN khi không chắc chắn. Dừng lại và đối chiếu quy trình hỗ trợ của nhà cung cấp trước khi Token bị khóa.

Đây là quy tắc vận hành, không phải khẳng định Token nào cũng có cùng số lần cho phép nhập sai. Mỗi dịch vụ có thể có điều kiện mở khóa, cấp lại hoặc xác thực riêng.

Đặt và đổi mã PIN đúng cách

PIN nên đủ khó đoán, không dùng ngày sinh, số điện thoại, mã số thuế, tên doanh nghiệp hoặc chuỗi lặp. Ưu tiên kết hợp chữ và số nếu phần mềm cho phép; hướng dẫn CA2 trên NEAC cũng nêu khuyến nghị này. Không cần lưu PIN trong tài liệu dùng chung chỉ để “phòng khi quên”.

Khi Token còn dùng mã mặc định hoặc PIN đã được nhiều người biết, hãy đổi ngay trong công cụ chính thức của nhà cung cấp. Xác nhận rõ người sở hữu quyền ký, người được thao tác kỹ thuật và nơi lưu thông tin phục hồi. Với CA2, có thể xem hướng dẫn đổi PIN và mở khóa Token để hiểu các bước cần chuẩn bị; không tự áp dụng mã hoặc menu của một bản hướng dẫn cũ cho thiết bị khác.

Quy trình ký an toàn trong doanh nghiệp

1. Nhận hồ sơ: xác định loại tài liệu, người gửi, kỳ kê khai hoặc giao dịch cần ký.
2. Đọc trước khi ký: đối chiếu tên đơn vị, mã số thuế, số tiền, tệp đính kèm và thời điểm lập. Chữ ký số không thay thế bước duyệt nội dung.
3. Ký trực tiếp: người có thẩm quyền tự nhập PIN hoặc xác thực theo quy trình được phân công.
4. Lưu vết: lưu bản đã ký, thông báo tiếp nhận và ghi nhận người ký trong hệ thống nội bộ khi cần.
5. Cất Token: rút thiết bị, khóa màn hình và đưa Token về vị trí bảo quản sau khi hoàn tất.

Thông tư 15/2025/TT-BKHCN quy định yêu cầu kỹ thuật với phần mềm ký và kiểm tra chữ ký số, trong đó có việc kiểm tra chủ thể, hiệu lực chứng thư và dữ liệu đã ký. Doanh nghiệp vẫn cần tự thiết kế bước phê duyệt nội bộ, nhất là với hóa đơn, tờ khai và hợp đồng.

Bàn giao, nghỉ việc hoặc đổi người ký

Không bàn giao bằng cách nhắn PIN cho người thay thế. Lập biên bản ngắn có số serial Token hoặc thông tin nhận diện thiết bị, người bàn giao, người nhận, thời điểm, trạng thái chứng thư và công việc còn dở. PIN mới nên được thiết lập theo quy trình riêng để người cũ không còn dùng được.

Nếu thay đổi đại diện hoặc người ký, kiểm tra cả thông tin trên chứng thư và quyền ở phần mềm hóa đơn, thuế điện tử, ngân hàng hoặc hợp đồng. Một Token còn cắm ở máy cũ không chứng minh quy trình ký đã được bàn giao đúng.

Khi mất Token, quên PIN hoặc nghi ngờ lộ PIN

Nhà cung cấp có thể yêu cầu xác minh thông tin tổ chức trước khi xử lý. Chỉ dùng đầu mối công khai trên hợp đồng, trang dịch vụ hoặc báo giá. Với CA2, xem thông tin và báo giá CA2; với các hệ thống khác, kiểm tra đúng đầu mối tại báo giá FPT hoặc báo giá VNPT.

Kiểm tra định kỳ mỗi tháng

• Token đang ở đâu, ai chịu trách nhiệm bảo quản?
• Những ai có quyền ký và quyền này còn phù hợp không?
• PIN có cần đổi do thay đổi nhân sự hoặc lộ thông tin không?
• Chứng thư còn hiệu lực và thông tin đơn vị có khớp không?
• Máy ký, phần mềm quản lý Token và phần mềm nghiệp vụ có được cập nhật theo hướng dẫn chính thức không?

Việc kiểm tra chứng thư nên được tách khỏi việc đoán PIN. THUEAZ có bài kiểm tra thông tin chứng thư số CA2 trước khi ký để đối chiếu chủ thể, thời hạn và thông tin cần xem.

Câu hỏi thường gặp

Có nên để kế toán giữ cả Token và PIN?

Doanh nghiệp cần quyết định theo phân quyền thực tế. Nếu cùng một người giữ cả hai, vẫn cần có quy định duyệt hồ sơ và bàn giao khi vắng mặt. Không nên để nhiều người biết PIN chỉ để tiện xử lý.

Có thể ghi PIN vào sổ cất trong két không?

Rủi ro phụ thuộc ai tiếp cận được sổ và Token. Nên dùng quy trình quản lý bí mật có kiểm soát, phân quyền và thay đổi ngay khi nghi ngờ lộ; không lưu mã cạnh thiết bị.

Token bị khóa có phải chứng thư đã hỏng?

Không nên kết luận như vậy. Tình trạng khóa thiết bị, hiệu lực chứng thư và tình trạng hồ sơ là các việc cần kiểm tra riêng với nhà cung cấp.

Thay đổi PIN có làm mất hóa đơn hoặc tờ khai đã ký không?

Thông thường cần phân biệt dữ liệu đã ký với thông tin truy cập thiết bị. Hãy sao lưu và kiểm tra theo phần mềm đang dùng trước khi thao tác; không xóa dữ liệu chỉ vì đang đổi PIN.

Phạm vi và nguồn tham khảo

Nội dung được rà soát ngày 09/09/2026 từ hướng dẫn CA2 của NEAC, hướng dẫn Token Manager do NEAC đăng tải và Thông tư 15/2025/TT-BKHCN. Hướng dẫn cài đặt năm 2021 chỉ được dùng làm minh họa thao tác; doanh nghiệp cần xác nhận quy trình hiện hành với dịch vụ mình sử dụng.