THÔNG TƯ

 Quy định sử dụng chữ ký số
trong giao dịch điện tử

Căn cứ Luật giao dịch điện tử số 51/2005/QH11 ngày 29 tháng 11 năm 2005;

Căn cứ Nghị định số 130/2018/NĐ-CP ngày 27 tháng 9 năm 2018 của Chính phủ quy định chi tiết thi hành Luật giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số;

Căn cứ Nghị định số 17/2017/NĐ-CP ngày 17 tháng 02 năm 2017 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Thông tin và Truyền thông;

Bộ trưởng Bộ Thông tin và Truyền thông ban hành Thông tư quy định sử dụng chữ ký số trong giao dịch điện tử.

Chương I
QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Thông tư này quy định về ký số, kiểm tra chữ ký số trên thông điệp dữ liệu trong giao dịch điện tử bao gồm các hoạt động: ký số, kiểm tra chữ ký số, lưu trữ thông tin kèm theo thông điệp dữ liệu được ký số; các yêu cầu về chức năng và kỹ thuật của phần mềm ký số, kiểm tra chữ ký số và lưu trữ thông tin kèm theo thông điệp dữ liệu được ký số.

2. Yêu cầu đối với tổ chức cung cấp dịch vụ chứng thực chữ ký số cung cấp chứng thư số để cho các tổ chức, cá nhân sử dụng thực hiện các hoạt động ký số và kiểm tra chữ ký số trong hoạt động giao dịch điện tử; các yêu cầu đối với tổ chức, cá nhân sử dụng chữ ký số cho thông điệp dữ liệu trong giao dịch điện tử.

Điều 2. Đối tượng áp dụng

Thông tư này áp dụng đối với tổ chức, cá nhân sử dụng chữ ký số cho thông điệp dữ liệu trong giao dịch điện tử.

Điều 3. Giải thích từ ngữ

1. Khóa, khóa bí mật, khóa công khai, ký số, chữ ký số, chứng thư số, người ký, người nhận, tổ chức cung cấp dịch vụ chứng thực chữ ký số (sau đây gọi tắt là CA) được hiểu theo định nghĩa tại các Khoản 1, 3, 4, 5, 6, 7, 12, 13, 15, Điều 3 Nghị định số 130/2018/NĐ-CP ngày 27/9/2018 của Chính phủ quy định chi tiết thi hành Luật giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số.

2. "Chứng thư số tổ chức" là chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp cho các tổ chức.

3. “Chứng thư số cá nhân” là chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp cho các cá nhân.

4. "Khóa bí mật tổ chức" là khóa bí mật tương ứng với chứng thư số tổ chức.

5. "Khóa bí mật cá nhân" là khóa bí mật tương ứng với chứng thư số cá nhân.

6. "Chữ ký số tổ chức" là chữ ký số được tạo ra khi sử dụng khóa bí mật tổ chức.

7. “Chữ ký số cá nhân” là chữ ký số được tạo ra khi sử dụng khóa bí mật cá nhân

8. “Phần mềm ký số” là chương trình phần mềm có chức năng ký số vào thông điệp dữ liệu. 

9. “Phần mềm kiểm tra chữ ký số” là chương trình phần mềm có chức năng kiểm tra tính hợp lệ của chữ ký số trên thông điệp dữ liệu được ký số.

10.” Phương tiện lưu khóa bí mật” là phương tiện có chứa khóa bí mật mà cá nhân hoặc tổ chức sở hữu và kiểm soát, được sử dụng để lưu khóa bí mật của cá nhân, tổ chức đó.

Chương II
QUY ĐỊNH VỀ CHỮ KÝ SỐ TRONG GIAO DỊCH ĐIỆN TỬ

Điều 4. Nguyên tắc sử dụng chữ ký số trong giao dịch điện tử

1. Các tổ chức, cá nhân sử dụng chữ ký số trong giao dịch điện tử phải sử dụng phần mềm có các chức năng đáp ứng các quy định tại Thông tư này cho việc ký số, kiểm tra chữ ký số và lưu trữ thông tin kèm thông điệp dữ liệu được ký số và các thông tin kèm theo tương ứng.

2. Chữ ký số gắn kèm thông điệp dữ liệu sau khi ký số phải đảm bảo tính xác thực, tính toàn vẹn xuyên suốt quá trình trao đổi, xử lý và lưu trữ thông điệp dữ liệu được ký số.

Điều 5. Quản lý khóa bí mật

1. Người ký số sử dụng khóa bí mật cá nhân có trách nhiệm kiểm soát đảm bảo an toàn khóa bí mật cá nhân.

2. Người ký số sử dụng khóa bí mật tổ chức trách nhiệm kiểm soát, quản lý đảm bảo an toàn khóa bí mật của tổ chức.

3. Phương tiện lưu khoá bí mật của cá nhân hoặc tổ chức luôn thuộc sự kiểm soát của người ký số tại thời điểm ký số lên thông điệp dữ liệu.

Điều 6. Ký số trên thông điệp dữ liệu

1. Việc ký số được thực hiện thông qua phần mềm ký số. Phần mềm ký số thực hiện được việc kết hợp khoá bí mật cùng với hàm băm an toàn theo quy định và thông điệp dữ liệu để tạo thành chữ ký số trên thông điệp dữ liệu;

2. Trường hợp quy định người ký số trên thông điệp dữ liệu là cá nhân, thông qua phần mềm ký số, người ký số sử dụng khóa bí mật cá nhân để thực hiện việc ký số vào thông điệp dữ liệu;

3. Trường hợp quy định người ký số trên thông điệp dữ liệu là tổ chức, thông qua phần mềm ký số, người ký số sử dụng khóa bí mật tổ chức để thực hiện việc ký số vào thông điệp dữ liệu;

 4. Việc ký số vào thông điệp dữ liệu thành công hoặc không thành công phải được thông báo cho người ký số biết.

Điều 7. Kiểm tra tính hợp lệ của chữ ký số trên thông điệp dữ liệu

1. Kiểm tra tính hợp lệ của chữ ký số trên thông điệp dữ liệu bằng cách thực hiện các việc kiểm tra sau đây:

- Giải mã chữ ký số bằng khóa công khai tương ứng. Kiểm tra tính hợp lệ của chứng thư số và chữ ký số trên thông điệp dữ liệu theo tiêu chí chữ ký số được tạo ra đúng với khóa bí mật tương ứng với khóa công khai trên chứng thư số;

- Kiểm tra, xác thực thông tin của người ký số trên thông điệp dữ liệu; việc kiểm tra, xác thực thông tin người ký số được thực hiện theo Điều 8 của thông tư này;

- Kiểm tra tính toàn vẹn của thông điệp dữ liệu được ký số;

2. Chữ ký số trên thông điệp dữ liệu là hợp lệ khi việc kiểm tra, xác thực được đúng thông tin người ký số, chứng thư số của người ký số tại thời điểm ký còn hiệu lực và thông điệp dữ liệu đảm bảo tính toàn vẹn.

3. Kết quả kiểm tra chữ ký số là hợp lệ hoặc không hợp lệ phải được thông báo cho người kiểm tra biết.

Điều 8. Kiểm tra hiệu lực của chứng thư số.

1. Thực hiện kiểm tra hiệu lực của chứng thư số tại thời điểm ký số bằng phương pháp sau:

a) Kiểm tra thời hạn có hiệu lực của chứng thư số

b) Kiểm tra trạng thái chứng thư số qua danh sách chứng thư số bị thu hồi (CRL) được công bố tại thời điểm ký số;

c) Kiểm tra trạng thái chứng thư số bằng phương pháp kiểm tra trạng thái chứng thư số trực tuyến (OCSP) ở chế độ trực tuyến;

d) Kiểm tra thuật toán ký trên chứng thư số;

đ) Việc kiểm tra chứng thư số của người ký số trên thông điệp dữ liệu phải kiểm tra theo đường dẫn tin tưởng trên chứng thư số đến các tổ chức cung cấp dịch vụ chứng thực chữ ký số bao gồm:

- Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia;

- Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng;

- Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng Chính phủ.

e) Trường hợp chứng thư số nước ngoài của người ký số trên thông điệp dữ liệu phải kiểm tra theo quy định tại điểm c khoản 1 Điều 79 Nghị định 130/2018/NĐ-CP.

2. Chứng thư số còn hiệu lực khi đáp ứng tất cả các tiêu chí sau:

a) Trong thời gian chứng thư số có hiệu lực tại thời điểm ký;

b) Hàm băm an toàn và tiêu chuẩn chữ ký số trên chứng thư số tuân thủ theo quy định của Bộ Thông tin và Truyền thông về tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số đang có hiệu lực.

c) Chứng thư số được cấp phát bởi các tổ chức cung cấp dịch vụ chứng thực chữ ký số sau:

- Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia;

- Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng;

- Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng Chính phủ.

d) Trạng thái của chứng thư số còn hoạt động tại thời điểm ký số;

3. Chứng thư số không còn hiệu lực khi không đáp ứng một trong các tiêu chí tại khoản 2 Điều này.

Điều 9. Lưu trữ thông tin kèm theo thông điệp dữ liệu được ký số

1. Lưu trữ thông tin kèm theo thông điệp dữ liệu được ký số nhằm mục đích kiểm tra tính hợp lệ của chữ ký số tại thời điểm ký, thông tin lưu trữ kèm theo bao gồm:

a) Đối với thông điệp dữ liệu được ký số gửi đi:

- Chứng thư số tương ứng với khóa bí mật mà người ký số sử dụng để ký thông điệp dữ liệu;

- Các chứng thư số theo quy định tại điểm c khoản 2 Điều 8 Thông tư này, có đường dẫn tin tưởng với chứng thư số tương ứng với khóa bí mật của người ký số sử dụng để ký thông điệp dữ liệu;

- Các danh sách thu hồi chứng thư số theo quy định tại điểm c khoản 2 Điều 8 Thông tư này, có đường dẫn tin tưởng với chứng thư số tương ứng với khóa bí mật của người ký số sử dụng để ký thông điệp dữ liệu

- Trường hợp chứng thư số nước ngoài của người ký số trên thông điệp dữ liệu đi phải lưu danh sách thu hồi chứng thư số của Tổ chức cung cấp dịch vụ chứng thực chữ ký số nước ngoài cấp phát chứng thư số đó và Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia.

- Quy chế chứng thực của các tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp phát chứng thư số theo quy định tại điểm c khoản 2 Điều 8 Thông tư này có đường dẫn tin tưởng với chứng thư số tương ứng với khóa bí mật của người ký số sử dụng để ký thông điệp dữ liệu;

b) Đối với thông điệp dữ liệu đã được ký số gửi đến:

- Các chứng thư số tương ứng với các chữ ký số trên thông điệp dữ liệu đến;

- Các danh sách thu hồi chứng thư số theo quy định tại điểm c khoản 2 Điều 8 Thông tư này, có đường dẫn tin tưởng với chứng thư số tương ứng với chữ ký số trên thông điệp dữ liệu đến;

- Trường hợp chứng thư số nước ngoài của người ký số trên thông điệp dữ liệu đến phải lưu danh sách thu hồi chứng thư số của Tổ chức cung cấp dịch vụ chứng thực chữ ký số nước ngoài cấp phát chứng thư số đó và Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia.

- Quy chế chứng thực của các tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp phát chứng thư số theo quy định tại điểm c khoản 2 Điều 8 Thông tư này có đường dẫn tin tưởng với chứng thư số tương ứng với chữ ký số trên thông điệp dữ liệu đến;

- Kết quả kiểm tra trạng thái chứng thư số tương ứng với chữ ký số trên thông điệp dữ liệu đến.

2. Thông tin lưu trữ kèm theo thông điệp dữ liệu được quản lý bằng phần mềm ký số; phần mềm kiểm tra chữ ký số phù hợp với thời gian lưu trữ của thông điệp dữ liệu theo quy định

3. Trong trường hợp bên nhận thông điệp dữ liệu được ký số bị mất thì liên hệ với bên gửi để được gửi lại thông điệp dữ liệu được ký số trong trường hợp bên gửi còn lưu trữ.

Điều 10. Hủy bỏ thông tin kèm theo thông điệp dữ liệu được ký số

1. Khi hủy bỏ thông điệp dữ liệu được ký số, đồng thời hủy bỏ thông tin lưu trữ kèm theo được quy định tại khoản 1, điều 9;

2. Việc hủy bỏ thông tin lưu trữ kèm theo thông điệp dữ liệu có chữ ký số không được làm ảnh hưởng đến các thông điệp dữ liệu khác và đảm bảo sự hoạt động bình thường của hệ thống.

3. Hủy bỏ thông tin kèm theo thông điệp dữ liệu được ký số được thực hiện bằng phần mềm.

Chương III
YÊU CẦU KỸ THUẬT VÀ CHỨC NĂNG ĐỐI VỚI PHẦN MỀM

Điều 11. Yêu cầu kỹ thuật và chức năng đối với phần mềm ký số

Phần mềm ký số là phần mềm độc lập hoặc một thành phần (module) phần mềm đáp ứng các yêu cầu sau:

1. Tuân thủ các tiêu chuẩn kỹ thuật quy định tại phụ lục kèm theo Thông tư này;

2. Có chức năng ký số như quy định tại khoản Điều 6 Thông tư này;

3. Có chức năng kiểm tra hiệu lực chứng thư số như quy định tại Điều 8;

4. Có chức năng lưu trữ thông tin kèm theo thông điệp dữ liệu được ký số quy định tại Điều 9 Thông tư này (đối với thông điệu dữ liệu đi);

5. Có chức năng hủy bỏ thông tin kèm theo thông điệp dữ liệu được ký số quy định tại Điều 10 Thông tư này;

6. Có chức năng thông báo (bằng chữ/bằng ký hiệu) cho người ký số biết việc ký số vào thông điệp dữ liệu thành công hay không thành công;

7. Có chức năng đáp ứng quy định tại khoản 1 Điều 7 Thông tư số 04/2019/TT-BTTTT.

8. Phần mềm ký số cần đảm bảo:

 - Cho phép thay đổi (thêm, bớt) nhiều chứng thư số gốc của Tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp chứng thư số.

- Đảm bảo trung lập về công nghệ, không sử dụng các rào cản kỹ thuật để hạn chế việc thực hiện tạo chữ ký số bằng cách sử dụng khóa bí mật tương ứng với chứng thư số của một hoặc một số tổ chức cung cấp dịch vụ chứng thực chữ ký số.

Điều 12. Yêu cầu kỹ thuật và chức năng đối với phần mềm kiểm tra chữ ký số

Phần mềm kiểm tra chữ ký số là phần mềm độc lập hoặc một thành phần (module) phần mềm có các chức năng kiểm tra chữ ký số trên thông điệp dữ liệu đáp ứng các yêu cầu sau:

1. Tuân thủ các tiêu chuẩn kỹ thuật quy định phụ lục kèm theo Thông tư này;

2. Có chức năng kiểm tra tính hợp lệ của chữ ký số trên thông điệp dữ liệu như quy định tại Điều 7 Thông tư này;

3. Có chức năng thông báo việc kiểm tra tính hợp lệ của chữ ký số là hợp lệ hay không hợp lệ;

4. Có chức năng lưu trữ thông tin kèm theo thông điệp dữ liệu được ký số quy định tại Điều 9 Thông tư này (đối với thông điệp dữ liệu đến);

5. Có chức năng hủy bỏ thông tin kèm theo thông điệp dữ liệu được ký số quy định tại Điều 10 Thông tư này;

6. Có chức năng đáp ứng quy định tại khoản 2 Điều 7 Thông tư số 04/2019/TT-BTTTT

8. Phần mềm kiểm tra ký số cần đảm bảo:

 - Cho phép thay đổi (thêm, bớt) nhiều chứng thư số gốc của Tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp chứng thư số.

- Đảm bảo trung lập về công nghệ, không sử dụng các rào cản kỹ thuật để hạn chế việc để hạn chế việc kiểm tra hiệu lực chứng thư số của một hoặc một số tổ chức cung cấp dịch vụ chứng thực chữ ký số.

Chương IV
YÊU CẦU ĐỐI VỚI CÁC TỔ CHỨC, CÁ NHÂN

Điều 13.  Trách nhiệm của tổ chức cung cấp dịch vụ chứng thực chữ ký số

Tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp chứng thư số được sử dụng để ký số trên thông điệp dữ liệu phải đáp ứng các yêu cầu sau:

1. Lưu trữ và công bố toàn bộ các thông tin sau đây trên trang tin điện tử  (website) của tổ chức cung cấp dịch vụ chứng thực chữ ký số, trang tin điện tử phải đảm hoạt động 24 giờ/ngày, 7 ngày/tuần (để hỗ trợ xác định tính hợp lệ của chữ ký số trên thông điệp dữ liệu):

- Thông tin liên quan đến hoạt động tạm dừng chứng thư số, thông tin liên quan đến hoạt động thu hồi chứng thư số và các chứng thư số bị thu hồi;

- Thông tin liên quan đến chứng thư số của thuê bao, danh sách các chứng thư số có hiệu lực hoặc đã hết hiệu lực;

- Quy chế chứng thực của tổ chức cung cấp dịch vụ chứng thực chữ ký số.

2. Khuyến khích tổ chức cung cấp dịch vụ chứng thực chữ ký số cung cấp dịch vụ kiểm tra trạng thái chứng thư số trực tuyến (OCSP);

3. Công bố các đặc tả kỹ thuật (cả tài liệu và bộ công cụ) liên quan đến tổ chức cung cấp dịch vụ chứng thực chữ ký số và các tiêu chuẩn chữ ký số; Cung cấp chứng thư số gốc của tổ chức cung cấp dịch vụ chứng thực chữ ký số cho các nhà phát triển phần mềm để tích hợp vào phần mềm kiểm tra chữ ký số.

4. Công khai tài liệu mô tả, bộ công cụ để phần mềm ký số có thể tương tác với phương tiện lưu khoá bí mật do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp phát cho thuê bao.

5. Cung cấp dịch vụ cấp dấu thời gian tuân thủ theo quy định hiện hành.

Điều 14. Nghĩa vụ và trách nhiệm của người ký số.

Tổ chức, cá nhân sử dụng chữ ký số cho thông điệp dữ liệu trong hoạt động giao dịch điện tử phải đáp ứng các yêu cầu sau:

1. Tuân thủ quy định tại Điều 4,5,6 Thông tư này.

2. Sử dụng phần mềm ký số đáp ứng theo quy định tại Điều 11 Thông tư này để đảm bảo chữ ký số đáp ứng điều kiện đảm bảo an toàn.

3. Trường hợp người ký số thực hiện ký số vào thông điệp dữ liệu là văn bản điện tử trong cơ quan nhà nước thì tuân thủ theo quy định tại Thông tư số 41/2017/TT-BTTTT.

Điều 15. Nghĩa vụ và trách nhiệm của người nhận thông điệp dữ liệu được ký số

Tổ chức, cá nhân nhận thông điệp dữ liệu được ký số trong hoạt động giao dịch điện tử phải đáp ứng các yêu cầu sau:

 1. Tuân thủ quy định tại khoản 3 Điều 79 Nghị định 130/2018/NĐ-CP và Điều 4 Thông tư này.

 2. Sử dụng phần mềm kiểm tra chữ ký số đáp ứng theo quy định tại Điều 12 Thông tư này để đảm bảo chữ ký số trên thông điệp dữ liệu đáp ứng điều kiện hợp lệ.

3. Người nhận, người ký số cần có thỏa thuận về phương thức trao đổi thông điệp dữ liệu ký số hoặc tuân thủ theo quy định pháp lý chuyên ngành về phương thức trao đổi thông điệp dữ liệu ký số;

 4. Trường hợp người nhận thông điệp dữ liệu được ký số là văn bản điện tử trong cơ quan nhà nước được ký số, thực hiện việc kiểm tra tính hợp lệ của chữ ký số trên văn bản điện tử trong cơ quan nhà nước thì tuân thủ theo quy định tại Thông tư số 41/2017/TT-BTTTT.

Chương V
TỔ CHỨC THỰC HIỆN

Điều 16. Điều khoản chuyển tiếp

Chậm nhất sau 18 tháng kề từ ngày Thông tư có hiệu lực thi hành, các cơ quan, tổ chức đang sử dụng các phần mềm có chức năng ký số, kiểm tra chữ ký số chưa đáp ứng yêu cầu kỹ thuật và chức năng quy định tại Thông tư này thực hiện việc nâng cấp chức năng của phần mềm ký số, phần mềm kiểm tra chữ ký số để đáp ứng quy định.

Điều 17. Trách nhiệm hướng dẫn thi hành

1. Trung tâm Chứng thực điện tử quốc gia có trách nhiệm chủ trì, phối hợp với Vụ Pháp chế và các đơn vị có liên quan hướng dẫn, hỗ trợ kỹ thuật việc thực hiện các nội dung của Thông tư này.

2. Trung tâm Chứng thực điện tử quốc gia xây dựng phương án cung cấp phần mềm công cụ ký số và kiểm tra chữ ký số theo các nội dung quy định tại Thông tư này để hỗ trợ thúc đẩy sử dụng chữ ký số trong giao dịch điện tử.

3. Sở Thông tin và Truyền thông các tỉnh, thành phố trực thuộc Trung ương, các đơn vị chuyên trách về công nghệ thông tin các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ có trách nhiệm:

a) Phổ biến việc thực hiện các quy định của Thông tư này;

b) Hàng năm báo cáo Bộ Thông tin và Truyền thông (Trung tâm Chứng thực điện tử quốc gia) về tình hình sử dụng chữ ký số trong hoạt động giao dịch điện tử tại cơ quan, tổ chức.

Chương VI
ĐIỀU KHOẢN THI HÀNH

Điều 18. Hiệu lực thi hành

1. Thông tư này có hiệu lực thi hành kể từ ngày … tháng … năm 2019.

2. Chánh Văn phòng, Giám đốc Trung tâm Chứng thực điện tử quốc gia, Thủ trưởng các cơ quan, đơn vị thuộc Bộ, các tổ chức và cá nhân có liên quan chịu trách nhiệm thi hành Thông tư này.

3. Trong quá trình thực hiện, nếu có khó khăn, vướng mắc, các cơ quan, tổ chức và cá nhân phản ánh kịp thời về Bộ Thông tin và Truyền thông để xem xét, giải quyết./.