Nhà cung cấp dịch vụ chữ ký số phải chuẩn hóa thiết bị bảo mật HSM

Quy chuẩn kỹ thuật quốc gia QCVN 137:2025/BKHCN ban hành kèm theo Thông tư 50/2025/TT-BKHCN của Bộ Khoa học và Công nghệ đã chính thức có hiệu lực thi hành từ ngày 01 tháng 7 năm 2026. Tính đến thời điểm hiện tại vào tháng 11 năm 2026, quy chuẩn này đã được áp dụng trong thực tế hơn bốn tháng, đặt ra những nghĩa vụ pháp lý và kỹ thuật mang tính bắt buộc đối với toàn bộ các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng. Trọng tâm cốt lõi của các yêu cầu kỹ thuật mới tập trung vào việc chuẩn hóa thiết bị bảo mật HSM, các phương tiện lưu trữ khóa bí mật, cũng như hạ tầng quản lý chứng thư nhằm bảo đảm an toàn thông tin ở mức độ cao nhất cho giao dịch điện tử.

Sự chuyển dịch về khung kỹ thuật này buộc các nhà cung cấp dịch vụ tin cậy phải khẩn trương đánh giá lại toàn diện hệ thống mật mã và trang thiết bị vật lý hiện hành. Theo khoản 1 Điều 3 Thông tư 50/2025/TT-BKHCN, văn bản đã có hiệu lực từ giữa năm 2026, đồng thời tại Điều 2 đặt ra thời hạn chót để các đơn vị hoàn tất việc rà soát, nâng cấp hệ thống trước ngày 10 tháng 4 năm 2027. Do đó, các doanh nghiệp chỉ còn khoảng năm tháng để hoàn thiện mọi thủ tục thử nghiệm, chuyển đổi thiết bị và công bố hợp quy theo quy định.

Lộ trình tuân thủ kỹ thuật trước mốc thời điểm ngày 10 tháng 4 năm 2027

Vấn đề thời gian và điều kiện chuyển tiếp là yếu tố sống còn đối với các nhà cung cấp dịch vụ chữ ký số đang hoạt động trên thị trường. Theo quy định tại Điều 2 Thông tư 50/2025/TT-BKHCN, trừ trường hợp tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng lựa chọn áp dụng quy định của Luật Giao dịch điện tử số 20/2023/QH15, các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đang hoạt động hợp pháp có trách nhiệm rà soát, nâng cấp hệ thống thông tin và đội ngũ nhân lực quản lý và kỹ thuật đáp ứng quy định tại QCVN 137:2025/BKHCN trước ngày 10 tháng 4 năm 2027.

Quy định này xác lập rõ hai khía cạnh bắt buộc phải thực hiện song song: thứ nhất là nâng cấp hạ tầng hệ thống thông tin vật lý, phần mềm, thiết bị chuyên dụng; thứ hai là chuẩn hóa chính đội ngũ nhân lực quản trị và kỹ thuật vận hành. Ngoại lệ duy nhất được nêu tại Điều 2 là trường hợp tổ chức chủ động lựa chọn áp dụng trực tiếp quy định của Luật Giao dịch điện tử số 20/2023/QH15. Đối với toàn bộ các đơn vị còn lại, thời hạn ngày 10 tháng 4 năm 2027 là mốc giới hạn pháp lý cuối cùng để hoàn tất việc chuyển dịch, không có cơ chế gia hạn thêm.

Bên cạnh lộ trình dành cho các đơn vị đang vận hành, quy định chuyển tiếp tại Điều 4 Thông tư 50/2025/TT-BKHCN cũng nêu rõ phương án giải quyết đối với các hồ sơ hành chính đang trong quá trình xử lý. Cụ thể, theo Điều 4, hồ sơ đề nghị cấp Giấy phép cung cấp dịch vụ chứng thực chữ ký số công cộng đã nộp cho cơ quan nhà nước có thẩm quyền nhưng đến ngày Thông tư này có hiệu lực thi hành chưa được cấp giấy phép thì được tiếp tục áp dụng quy định của Thông tư số 06/2015/TT-BTTTT và Thông tư số 16/2019/TT-BTTTT. Quy định này bảo đảm quyền lợi hợp pháp và tiến độ thẩm định của các hồ sơ nộp trước ngày 01 tháng 7 năm 2026 mà chưa hoàn tất thủ tục cấp phép.

Tiêu chuẩn khắt khe cho thiết bị bảo mật HSM và phương tiện mật mã

Theo Mục 2.1.4 Bảng 4 của Quy chuẩn kỹ thuật quốc gia QCVN 137:2025/BKHCN, «Thiết bị HSM và thiết bị mật mã, lưu khóa phải đáp ứng các quy định tại Bảng 4». Đây là nội dung cốt lõi chi phối trực tiếp đến cấu trúc phần cứng của hệ thống trung tâm chứng thực chữ ký số (CA). Bảng 4 phân tách rõ ràng giữa hai nhóm thiết bị: thiết bị chuyên dụng trung tâm và thiết bị lưu khóa dành cho người dùng cuối.

Đối với nhóm thiết bị HSM, thiết bị mật mã và lưu khóa của tổ chức cung cấp dịch vụ, quy định đưa ra ba tiêu chuẩn tham chiếu quốc tế và cho phép doanh nghiệp áp dụng một trong ba tiêu chuẩn này. Thứ nhất là tiêu chuẩn FIPS PUB 140-2 với yêu cầu đạt tối thiểu mức 3 (Security Requirements for Cryptographic Modules). Thứ hai là tiêu chuẩn thế hệ tiếp theo FIPS PUB 140-3 cũng ở mức tối thiểu mức 3. Thứ ba là tiêu chuẩn Châu Âu EN 419221-5:2018 (Protection Profiles for TSP Cryptographic modules - Part 5: Cryptographic Module for Trust Services) với yêu cầu đạt tối thiểu mức EAL 4.

Việc áp dụng mức 3 của chuẩn FIPS PUB hoặc mức EAL 4 của chuẩn EN bảo đảm rằng thiết bị phần cứng của nhà cung cấp có khả năng kháng lại các tấn công vật lý, phát hiện hành vi xâm nhập trái phép và bảo vệ an toàn tuyệt đối cho khóa bí mật gốc (Root CA Key, Issuing CA Key). Nếu thiết bị phần cứng của nhà cung cấp dịch vụ không có chứng chỉ phù hợp hoặc chỉ đạt cấp độ bảo vệ thấp hơn các ngưỡng này, hệ thống sẽ không đủ điều kiện kỹ thuật để tiếp tục cung ứng dịch vụ.

Đối với nhóm thiết bị đầu cuối phát cho khách hàng sử dụng, bao gồm Token và thẻ thông minh (Smart card), yêu cầu kỹ thuật được đặt ra tại Bảng 4 Mục 2.1.4 bao gồm tiêu chuẩn FIPS PUB 140-2 đạt tối thiểu mức 2 hoặc tiêu chuẩn FIPS PUB 140-3 đạt tối thiểu mức 2. Việc phân định ranh giới giữa mức 3 đối với hệ thống trung tâm và mức 2 đối với thiết bị đầu cuối phản ánh sự cân đối giữa yêu cầu an ninh tối đa của máy chủ ký số và khả năng triển khai thương mại thực tế của các thiết bị phân phối hàng loạt.

Chuẩn hóa giao thức hạ tầng chứng thư và kiểm tra trạng thái khóa

Hệ thống kỹ thuật của nhà cung cấp dịch vụ không chỉ phụ thuộc vào phần cứng bảo mật mà còn phải đồng bộ toàn diện về các giao thức mạng và mô hình dữ liệu. Mục 2.1.3 của Quy chuẩn QCVN 137:2025/BKHCN quy định chi tiết danh mục các tiêu chuẩn tham chiếu áp dụng cho việc phát hành, quản lý và vận hành chứng thư chữ ký số, buộc các đơn vị phải cấu hình lại các giao thức dịch vụ thư mục và truyền tải thông tin.

Cụ thể, đối với chính sách chứng thư chữ ký số, đơn vị phải tuân thủ tiêu chuẩn RFC 3647 (Internet X.509 Public Key Infrastructure - Certificate Policy and Certification Practices Framework). Để định nghĩa lược đồ cho giao thức truy nhập thư mục, tiêu chuẩn RFC 4523 (Lightweight Directory Access Protocol (LDAP) Schema Definitions for X.509 Certificates) được áp dụng bắt buộc. Đối với giao thức truy nhập thư mục LDAP, quy chuẩn đưa ra yêu cầu khắt khe là phải áp dụng trọn vẹn bộ bốn tiêu chuẩn: RFC 4510 (Technical Specification Road Map), RFC 4511 (The Protocol), RFC 4512 (Directory Information Models) và RFC 4513 (Authentication Methods and Security Mechanisms).

Đối với việc công bố thông tin công khai, quy định tại Mục 2.1.3 nêu rõ giao thức truyền, nhận chứng thư chữ ký số và danh sách chứng thư chữ ký số bị thu hồi (CRL) phải áp dụng tiêu chuẩn RFC 2585 (Internet X.509 Public Key Infrastructure - Operational Protocols: FTP and HTTP), trong đó quy định áp dụng một hoặc cả hai giao thức FTP và HTTP. Đồng thời, giao thức cho kiểm tra trạng thái chứng thư chữ ký số trực tuyến bắt buộc phải đáp ứng tiêu chuẩn RFC 6960 (X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP), bảo đảm việc tra cứu tính hiệu lực của chữ ký số diễn ra theo thời gian thực một cách chính xác.

Quy định vận hành đối với ký số phần cứng và mô hình ký số từ xa

Ngoài các tham số kỹ thuật tĩnh, quy chuẩn QCVN 137:2025/BKHCN còn thiết lập các yêu cầu vận hành đối với từng mô hình cung cấp dịch vụ cụ thể. Theo Mục 2.2.1, đối với mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng, tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng phải triển khai các biện pháp bảo đảm quy trình vận hành và kiểm soát cung cấp dịch vụ đáp ứng các quy định của tiêu chuẩn ETSI EN 319 411-1 (phiên bản V1.4.1). Tiêu chuẩn này bao quát các thủ tục nghiệp vụ, kiểm soát nhân sự, quy trình quản lý vòng đời chứng thư và bảo vệ hạ tầng công nghệ thông tin.

Đối với mô hình ký số từ xa (Remote Signing) được quy định tại Mục 2.3 và Mục 2.3.1 Bảng 5, hệ thống quản lý khóa bí mật, chứng thư chữ ký số và tạo chữ ký số của khách hàng phải đáp ứng tiêu chuẩn giao thức tạo chữ ký số ETSI TS 119 432 (Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation) phiên bản V1.2.1. Sự quy chuẩn hóa này giúp ngăn chặn các rủi ro bảo mật tiềm ẩn trong môi trường đám mây và kết nối mạng diện rộng, bảo đảm người dùng duy trì toàn quyền kiểm soát đối với cặp khóa bí mật của mình.

Sự tích hợp giữa chuẩn vận hành ETSI EN 319 411-1 (phiên bản V1.4.1) và chuẩn giao thức ETSI TS 119 432 (phiên bản V1.2.1) đòi hỏi các tổ chức cung cấp dịch vụ không chỉ thay thế trang thiết bị mà còn phải tái cấu trúc quy trình nội bộ, ban hành tài liệu vận hành và tập huấn chuyên môn cho đội ngũ kỹ sư phụ trách.

Thủ tục công bố hợp quy và chịu sự kiểm tra chuyên ngành

Về mặt thủ tục pháp lý, theo Mục 3.2 của Quy chuẩn QCVN 137:2025/BKHCN, «Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng thuộc phạm vi điều chỉnh tại mục 1.1 thực hiện công bố hợp quy theo quy định và chịu sự kiểm tra của các cơ quan quản lý nhà nước». Đây là bước thủ tục mang tính xác nhận điều kiện hoạt động của doanh nghiệp trước cơ quan có thẩm quyền.

Việc công bố hợp quy đòi hỏi tổ chức cung cấp dịch vụ phải thực hiện đầy đủ các bước đánh giá sự phù hợp của hệ thống phần cứng, bao gồm chứng chỉ FIPS PUB 140-2/140-3 hoặc EN 419221-5 của thiết bị bảo mật, tính tuân thủ của các giao thức mạng RFC, cũng như sự đồng bộ của quy trình vận hành ETSI. Sau khi hoàn tất công bố, đơn vị chịu sự kiểm tra chuyên ngành của cơ quan quản lý nhà nước. Theo Điều 5 Thông tư 50/2025/TT-BKHCN, Giám đốc Trung tâm Chứng thực điện tử quốc gia có trách nhiệm tổ chức hướng dẫn triển khai thực hiện; trường hợp phát sinh vướng mắc, các tổ chức và cá nhân kịp thời phản ánh bằng văn bản về Bộ Khoa học và Công nghệ (thông qua Trung tâm Chứng thực điện tử quốc gia) để nghiên cứu sửa đổi, bổ sung.

Bên cạnh đó, khoản 2 Điều 3 Thông tư 50/2025/TT-BKHCN quy định hai văn bản trước đây đã chính thức hết hiệu lực thi hành kể từ ngày 01 tháng 7 năm 2026, bao gồm: Thông tư số 06/2015/TT-BTTTT ngày 23 tháng 3 năm 2015 của Bộ trưởng Bộ Thông tin và Truyền thông quy định danh mục tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số; và Thông tư số 16/2019/TT-BTTTT ngày 05 tháng 12 năm 2019 của Bộ trưởng Bộ Thông tin và Truyền thông quy định danh mục tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số theo mô hình ký số trên thiết bị di động và ký số từ xa. Do các văn bản cũ đã hết hiệu lực, mọi hoạt động kiểm tra chuyên ngành hiện nay đều căn cứ trên quy chuẩn mới QCVN 137:2025/BKHCN.

Tình huống minh họa: Bài toán rà soát hệ thống của một nhà cung cấp dịch vụ

Xét tình huống tại một tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đang hoạt động hợp pháp trên thị trường. Doanh nghiệp này đã được cấp phép vận hành từ giai đoạn trước theo khung quy định cũ của Thông tư số 06/2015/TT-BTTTT. Tính đến thời điểm tháng 11 năm 2026, khi Thông tư 50/2025/TT-BKHCN đã có hiệu lực, đơn vị đối mặt với yêu cầu tuân thủ Điều 2 của Thông tư.

Đơn vị này không thuộc diện lựa chọn áp dụng trực tiếp quy định của Luật Giao dịch điện tử số 20/2023/QH15. Do đó, căn cứ theo Điều 2, doanh nghiệp có trách nhiệm rà soát, nâng cấp hệ thống thông tin và đội ngũ nhân lực quản lý và kỹ thuật đáp ứng quy định tại QCVN 137:2025/BKHCN trước ngày 10 tháng 4 năm 2027. Khi đối chiếu với Mục 2.1.4 Bảng 4, đội ngũ kỹ thuật phát hiện hệ thống máy chủ ký của mình đang sử dụng thiết bị mã hóa cũ chỉ đạt chứng nhận FIPS PUB 140-2 mức 2. Theo Bảng 4, thiết bị HSM và thiết bị mật mã, lưu khóa bắt buộc phải đạt tối thiểu mức 3 đối với FIPS PUB 140-2 hoặc FIPS PUB 140-3, hoặc đạt tối thiểu EAL mức 4 đối với EN 419221-5:2018. Mức 2 của thiết bị hiện tại chỉ đủ điều kiện cho Token và Smart card, không được phép sử dụng cho thiết bị lưu khóa của tổ chức cung cấp dịch vụ.

Hệ quả thực tế là doanh nghiệp buộc phải lập dự toán thay thế phần cứng trung tâm lên chuẩn FIPS PUB 140-2 mức 3 (hoặc FIPS PUB 140-3 mức 3 hay EN 419221-5:2018 EAL mức 4). Đồng thời, doanh nghiệp phải cập nhật giao thức truy nhập thư mục sang bộ bốn tiêu chuẩn RFC 4510, RFC 4511, RFC 4512, RFC 4513 theo Mục 2.1.3, cập nhật quy trình vận hành theo ETSI EN 319 411-1 phiên bản V1.4.1 theo Mục 2.2.1, và lập hồ sơ công bố hợp quy theo Mục 3.2 gửi tới cơ quan quản lý nhà nước trước ngày 10 tháng 4 năm 2027.

Ai bị ảnh hưởng và các hành động cần triển khai

Quy chuẩn QCVN 137:2025/BKHCN tác động trực tiếp và toàn diện đến các chủ thể tham gia chuỗi cung ứng dịch vụ chữ ký số công cộng. Các nhóm đối tượng chịu ảnh hưởng và nhiệm vụ cụ thể bao gồm:

• Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đang hoạt động: Phải tiến hành kiểm kê toàn bộ thiết bị phần cứng, rà soát chứng chỉ FIPS PUB 140-2/140-3 (tối thiểu mức 3) hoặc EN 419221-5:2018 (tối thiểu EAL mức 4); kiểm tra lại danh mục Token/Smart card phát cho khách hàng bảo đảm tối thiểu mức 2; đào tạo đội ngũ nhân lực quản lý và kỹ thuật; hoàn thành toàn bộ công tác nâng cấp trước ngày 10 tháng 4 năm 2027 theo Điều 2.
• Tổ chức cung cấp dịch vụ ký số từ xa: Bắt buộc phải đối chiếu hệ thống tạo chữ ký và quản lý khóa với tiêu chuẩn giao thức ETSI TS 119 432 phiên bản V1.2.1 theo Bảng 5 Mục 2.3.1.
• Tổ chức nộp hồ sơ xin cấp phép mới: Đối với hồ sơ đã nộp nhưng chưa được cấp phép tính đến trước ngày 01 tháng 7 năm 2026 thì áp dụng quy định chuyển tiếp tại Điều 4 để tiếp tục xét duyệt theo Thông tư số 06/2015/TT-BTTTT và Thông tư số 16/2019/TT-BTTTT; các hồ sơ nộp sau thời điểm này phải tuân thủ trực tiếp QCVN 137:2025/BKHCN.
• Cơ quan quản lý nhà nước (Bộ Khoa học và Công nghệ, Trung tâm Chứng thực điện tử quốc gia): Theo Điều 5, Trung tâm Chứng thực điện tử quốc gia hướng dẫn triển khai, tiếp nhận các phản ánh vướng mắc bằng văn bản và thực hiện kiểm tra chuyên ngành theo Mục 3.2.

Câu hỏi thường gặp

Thiết bị lưu khóa của tổ chức cung cấp dịch vụ có bắt buộc phải đạt FIPS PUB 140-3 không?

Không bắt buộc duy nhất FIPS PUB 140-3. Theo Bảng 4 Mục 2.1.4 của QCVN 137:2025/BKHCN, doanh nghiệp được quyền lựa chọn áp dụng một trong ba tiêu chuẩn: FIPS PUB 140-2 (tối thiểu mức 3), FIPS PUB 140-3 (tối thiểu mức 3) hoặc EN 419221-5:2018 (tối thiểu EAL mức 4).

Token và Smart card cấp cho khách hàng phải đáp ứng mức bảo mật nào?

Căn cứ Bảng 4 Mục 2.1.4, Token và Smart card phải đáp ứng tiêu chuẩn FIPS PUB 140-2 với mức tối thiểu là mức 2, hoặc tiêu chuẩn FIPS PUB 140-3 với mức tối thiểu là mức 2.

Các quy định kỹ thuật cũ của Bộ Thông tin và Truyền thông còn áp dụng không?

Căn cứ khoản 2 Điều 3 Thông tư 50/2025/TT-BKHCN, Thông tư số 06/2015/TT-BTTTT và Thông tư số 16/2019/TT-BTTTT đã chính thức hết hiệu lực kể từ ngày 01 tháng 7 năm 2026. Ngoại lệ duy nhất là các hồ sơ đề nghị cấp phép đã nộp trước ngày 01 tháng 7 năm 2026 nhưng chưa được cấp phép thì tiếp tục được áp dụng văn bản cũ theo quy định chuyển tiếp tại Điều 4.

Giao thức truy nhập thư mục LDAP được quy định cụ thể theo các tiêu chuẩn nào?

Theo Bảng tại Mục 2.1.3 của QCVN 137:2025/BKHCN, giao thức truy nhập thư mục LDAP bắt buộc phải áp dụng bộ bốn tiêu chuẩn gồm RFC 4510, RFC 4511, RFC 4512 và RFC 4513. Đồng thời, lược đồ LDAP cho chứng thư X.509 áp dụng RFC 4523.

Khuyến nghị hành động cho doanh nghiệp

Thông tư 50/2025/TT-BKHCN và Quy chuẩn kỹ thuật quốc gia QCVN 137:2025/BKHCN đã có hiệu lực thi hành, đánh dấu bước chuyển biến quan trọng trong công tác quản lý an toàn dịch vụ tin cậy tại Việt Nam. Việc kiểm soát chặt chẽ phần cứng mật mã, giao thức chứng thư và quy trình vận hành loại trừ các nguy cơ mất an toàn thông tin trong các giao dịch điện tử quy mô lớn.

Thời hạn ngày 10 tháng 4 năm 2027 quy định tại Điều 2 không còn dài. Các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng cần chủ động rà soát ngay hiện trạng hạ tầng, kiểm tra mức độ đáp ứng của phần cứng lưu khóa, giao thức mạng và quy trình kiểm soát nội bộ. Trường hợp phát sinh khó khăn, vướng mắc trong quá trình thực hiện, đơn vị cần kịp thời lập văn bản phản ánh về Bộ Khoa học và Công nghệ thông qua Trung tâm Chứng thực điện tử quốc gia theo đúng hướng dẫn tại Điều 5 để bảo đảm duy trì hoạt động kinh doanh hợp pháp và đúng quy định.