Thông tư 50/2025/TT-BKHCN Quy chuẩn kỹ thuật về dịch vụ chứng thực chữ ký số công cộng
THÔNG TƯ
Ban
hành “Quy chuẩn kỹ thuật quốc gia về yêu cầu đối
với
dịch
vụ chứng thực chữ ký số công cộng”
_________________
Căn cứ Luật Giao dịch điện tử số 20/2023/QH15;
Căn cứ Luật Tiêu chuẩn và quy chuẩn kỹ thuật số 68/2006/QH11, được sửa đổi, bổ sung bởi Luật số 35/2018/QH14 và Luật số 70/2025/QH15;
Căn cứ Nghị định số 23/2025/NĐ-CP ngày 21 tháng 02 năm 2025 của Chính phủ quy định về chữ ký điện tử và dịch vụ tin cậy;
Căn cứ Nghị định số 127/2007/NĐ-CP ngày 01 tháng 8 năm 2007 của Chính phủ quy định chi tiết thi hành một số điều của Luật Tiêu chuẩn và quy chuẩn kỹ thuật được sửa đổi, bổ sung bởi Nghị định số 78/2018/NĐ-CP;
Căn cứ Nghị định số 55/2025/NĐ-CP ngày 02 tháng 3 năm 2025 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Khoa học và Công nghệ;
Theo đề nghị của Giám đốc Trung tâm Chứng thực điện tử quốc gia;
Bộ trưởng Bộ Khoa học và Công nghệ ban hành Thông tư ban hành “Quy chuẩn kỹ thuật quốc gia về yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng
Điều 1. Ban hành kèm theo Thông tư này Quy chuẩn kỹ thuật quốc gia về yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng (QCVN 137:2025/BKHCN).
Điều 2. Lộ trình áp dụng
Trừ trường hợp tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng lựa chọn áp dụng quy định của Luật Giao dịch điện tử số 20/2023/QH15, các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đang hoạt động hợp pháp có trách nhiệm rà soát, nâng cấp hệ thống thông tin và đội ngũ nhân lực quản lý và kỹ thuật đáp ứng quy định tại QCVN 137:2025/BKHCN trước ngày 10 tháng 4 năm 2027.
Điều 3. Hiệu lực thi hành
1. Thông tư này có hiệu lực thi hành kể từ ngày 01 tháng 7 năm 2026.
2. Các quy định dưới đây hết hiệu lực thi hành kể từ ngày Thông tư này có hiệu lực thi hành:
a) Thông tư số 06/2015/TT-BTTTT ngày 23 tháng 3 năm 2015 của Bộ trưởng Bộ Thông tin và Truyền thông quy định danh mục tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số;
b) Thông tư số 16/2019/TT-BTTTT ngày 05 tháng 12 năm 2019 của Bộ trưởng Bộ Thông tin và Truyền thông quy định danh mục tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số theo mô hình ký số trên thiết bị di động và ký số từ xa.
Điều 4. Điều khoản chuyển tiếp
Hồ sơ đề nghị cấp Giấy phép cung cấp dịch vụ chứng thực chữ ký số công cộng đã nộp cho cơ quan nhà nước có thẩm quyền nhưng đến ngày Thông tư này có hiệu lực thi hành chưa được cấp giấy phép thì được tiếp tục áp dụng quy định của Thông tư số 06/2015/TT-BTTTT và Thông tư số 16/2019/TT-BTTTT.
Điều 5. Tổ chức thực hiện
1. Giám đốc Trung tâm Chứng thực điện tử quốc gia có trách nhiệm tổ chức hướng dẫn triển khai thực hiện Thông tư này.
2. Các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Thông tư này.
3. Trong quá trình thực hiện, nếu phát sinh vướng mắc, cơ quan, tổ chức, cá nhân kịp thời phản ánh bằng văn bản về Bộ Khoa học và Công nghệ (Trung tâm Chứng thực điện tử quốc gia) để nghiên cứu sửa đổi, bổ sung cho phù hợp./.
Nơi
nhận: - Các Bộ, Cơ quan ngang Bộ, Cơ quan thuộc Chính phủ; - UBND các tỉnh, thành phố trực thuộc TW; - Sở KHCN các tỉnh, thành phố trực thuộc TW; - Cục Kiểm tra văn bản và Quản lý xử lý vi phạm hành chính (Bộ Tư pháp); - Công báo, Cổng thông tin điện tử Chính phủ; - Bộ KHCN: Bộ trưởng và các Thứ trưởng, các cơ quan, đơn vị thuộc Bộ; - Cổng thông tin điện tử Bộ; - Lưu: VT, NEAC. |
BỘ TRƯỞNG
|
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
QCVN 137:2025/BKHCN
QUY
CHUẨN KỸ THUẬT QUỐC GIA
VỀ YÊU CẦU ĐỐI VỚI
DỊCH VỤ CHỨNG THỰC
CHỮ KÝ SỐ CÔNG CỘNG
NATIONAL
TECHNICAL REGULATION ON REQUIREMENTS
FOR
PUBLIC DIGITAL SIGNATURE AUTHENTICATION SERVICES
Mục lục
1. QUY ĐỊNH CHUNG
1.1. Phạm vi điều chỉnh
1.2. Đối tượng áp dụng
1.3. Tài liệu viện dẫn
1.4. Giải thích từ ngữ
1.5. Chữ viết tắt
2. QUY ĐỊNH KỸ THUẬT
2.1. Yêu cầu kỹ thuật
2.1.1. Yêu cầu đối với mật mã và chữ ký số
2.1.2. Yêu cầu đối với thông tin, dữ liệu
2.1.3. Yêu cầu đối với chứng thư chữ ký số
2.1.4. Yêu cầu đối với HSM và thiết bị mật mã, lưu khóa
2.2. Yêu cầu đối với mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng
2.2.1. Yêu cầu về quy trình vận hành và kiểm soát
2.3. Yêu cầu đối với mô hình ký số từ xa ký số của khách hàng
2.3.1. Yêu cầu đối với hệ thống quản lý khóa bí mật, chứng thư chữ ký số và tạo chữ ký số của khách hàng
2.3.2. Yêu cầu về quy trình vận hành và kiểm soát
2.4. Yêu cầu đối với mô hình ký số trên thiết bị di động
2.4.1. Yêu cầu đối với chức năng và giao diện
2.4.2. Yêu cầu đối với thẻ SIM
2.4.3. Yêu cầu về quy trình vận hành và kiểm soát
3. QUY ĐỊNH VỀ QUẢN LÝ
4. TRÁCH NHIỆM CỦA TỔ CHỨC, CÁ NHÂN
5. TỔ CHỨC THỰC HIỆN
Lời nói đầu
QCVN 137:2025/BKHCN do Trung tâm Chứng thực điện tử Quốc gia biên soạn, Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia thẩm định, Bộ trưởng Bộ Khoa học và Công nghệ ban hành kèm theo Thông tư số ..../2025/TT- BKHCN ngày ... tháng .... năm 2025.
QUY CHUẨN KỸ THUẬT QUỐC GIA
VỀ YÊU CẦU ĐỐI VỚI DỊCH VỤ CHỨNG THỰC CHỮ KÝ SỐ CÔNG CỘNG
NATIONAL
TECHNICAL REGULATION ON REQUIREMENTS FOR PUBLIC
DIGITAL
SIGNATURE AUTHENTICATION SERVICES
1. QUY ĐỊNH CHUNG
1.1. Phạm vi điều chỉnh
Quy chuẩn này quy định các yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng, yêu cầu về quy trình vận hành và kiểm soát đối với tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng bao gồm:
- Dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng;
- Dịch vụ chứng thực chữ ký số công cộng theo mô hình từ xa;
- Dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên thiết bị di động.
1.2. Đối tượng áp dụng
Quy chuẩn này được áp dụng cho Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng; Tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài đề nghị công nhận tại Việt Nam và các tổ chức, cá nhân có liên quan đến hoạt động cung cấp dịch vụ chứng thực chữ ký số công cộng tại Việt Nam.
Quy chuẩn này không áp dụng cho Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng công vụ.
1.3. Tài liệu viện dẫn
[1] IETF RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile
[2] IETF RFC 6960: X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP
[3] ISO/IEC 15408: Information security, cybersecurity and privacy protection - Evaluation criteria for IT security (parts 1 to 3)
[4] ISO/IEC 9594-8 /Recommendation ITU-T X.509 : Information technology - Open systems interconnection - Part 8: The Directory: Public-key and attribute certificate frameworks".
[5] FIPS PUB 140-2: Security Requirements for Cryptographic Modules
[6] FIPS PUB 140-3: Security Requirements for Cryptographic Modules
[7] FIPS PUB 202: SHA-3 standard - Permutation-Based Hash and Extendable - Output Functions
[8] FIPS PUB 180-4: Secure Hash Standard
[9] FIPS PUB 197: Advanced Encryption standard
[10] EN 419 221-5:2018: Protection Profiles for TSP Cryptographic modules - Part 5: Cryptographic Module for Trust Services requirements
[11] EN 419 221-1:2018: Trustworthy Systems Supporting Server Signing - Part 1: General system security requirements
[12] EN 419 221-2:2019: Trustworthy Systems Supporting Server Signing - Part 2: Protection Profile for QSCD for Server Signing
[13] ETSI EN 319 401: Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers
[14] ETSI EN 319 411-1: Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 1: General requirements
[15] ETSI TS 119 431-1: Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service providers; Part 1: TSP services operating a remote QSCD / SCDev
[16] ETSI TS 119 432: Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation
[17] ETSI TR 102 203: Mobile Commerce (M-COMM); Mobile Signatures; Business and Functional Requirements
[18] ETSI TS 102 204: Mobile Commerce (M-COMM); Mobile Signature Service; Web Service Interface
[19] ETSI TR 102 206: Mobile Commerce (M-COMM); Mobile Signature Service; Security Framework
[20] ETSI TR 102 207: Mobile Commerce (M-COMM); Mobile Signature Service; Specifications for Roaming in Mobile Signature Services
[21] TCVN 8709 (ISO/IEC 15408): Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn công nghệ thông tin (Common Criteria for Information Technology Security Evaluation)
[22] TCVN 7816:2007: Công nghệ thông tin - Kỹ thuật mật mã - thuật toán mã dữ liệu AES
1.4. Giải thích từ ngữ
1.4.1. Mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng: Mô hình mã khóa bí mật của thuê bao được tạo và lưu trữ hoàn toàn trong thiết bị phần cứng (USB token, thẻ thông minh hoặc thiết bị tương đương) do thuê bao trực tiếp sở hữu và kiểm soát vật lý
1.4.2.
Mô
hình ký số từ xa: Mô
hình mà khóa bí mật của thuê bao được tạo và lưu trữ
tại hệ thống của tổ chức cung cấp dịch vụ chứng
thực chữ ký số công cộng, việc tạo chữ ký số được
thực hiện từ xa theo lệnh của thuê bao thông qua cơ chế
xác thực và ủy quyền nghiêm ngặt.
1.4.3. Mô hình ký số trên thiết bị di động: Mô hình mà khóa bí mật của thuê bao được lưu trữ và sử dụng để tạo chữ ký số trực tiếp trên thiết bị di động của thuê bao (thường thông qua thẻ SIM có tích hợp chức năng mật mã hoặc thành phần bảo mật tương đương).
1.4.4. Thiết bị bảo mật phần cứng: Thiết bị phần cứng chuyên dụng (Hardware Security Module) dùng để tạo, lưu trữ, quản lý và bảo vệ khóa mật mã, đáp ứng các yêu cầu bảo mật cao.
1.4.5. Thiết bị mật mã, lưu khóa: Thiết bị phần cứng được sử dụng để lưu trữ và thực hiện các thao tác mật mã liên quan đến khóa bí mật của thuê bao.
1.4.6. Hệ thống quản lý khóa bí mật, chứng thư chữ ký số và tạo chữ ký số của khách hàng: Hệ thống của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số từ xa, thực hiện việc tạo, lưu trữ khóa bí mật và tạo chữ ký số thay mặt thuê bao theo lệnh của thuê bao.
1.4.7. Thẻ SIM: Thẻ nhận dạng thuê bao di động có tích hợp applet mật mã hoặc thành phần bảo mật, được sử dụng làm phương tiện lưu trữ khóa bí mật và tạo chữ ký số trong mô hình ký số trên thiết bị di động.
1.4.8. Thuê bao: Cá nhân hoặc tổ chức được tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng cấp chứng thư số và sử dụng dịch vụ chữ ký số.
1.4.9. Kiểm toán kỹ thuật: Hoạt động đánh giá độc lập, khách quan đối với hệ thống thông tin, quy trình cung cấp dịch vụ nhằm xác định việc đáp ứng tiêu chuẩn kỹ thuật bắt buộc áp dụng, quy chuẩn kỹ thuật, yêu cầu kỹ thuật của chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử bảo đảm an toàn, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy. Trong đó, tiêu chuẩn kỹ thuật bắt buộc áp dụng khi được viện dẫn trong quy chuẩn kỹ thuật hoặc văn bản quy phạm pháp luật.
1.4.10. Tổ chức kiểm toán kỹ thuật: Tổ chức chứng nhận được chỉ định theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa.
1.5. Chữ viết tắt
CA CP CPS CRL DN
EAL
ECDSA
ETSI
FIPS
HSM
IETF ISO/IEC
LDAP OCSP
PKCS
PKI RA RFC
RSA
SHA TSP UTC X.509 |
Certification Authority Certification Policy Certification Practice Statement Certificate Revocation List Distinguished Name
Evaluation Assurance Level
Elliptic Curve Digital Signature Algorithm
European Telecommunications Standards Institute Federal Information Processing Standards Hardware Security Module
Internet Engineering Task Force International Organization for Standardization / International Electrotechnical Commission Lightweight Directory Access Protocol Online Certificate Status Protocol
Public-Key Cryptography Standards
Public Key Infrastructure Registration Authority Request for Comments
Rivest-Shamir-Adleman
Secure Hash Algorithm Trust Service Provider Coordinated Universal Time ITU-T Recommendation X.509 |
Tổ chức chứng thực Chính sách chứng thư Quy chế chứng thực Danh sách chứng thư bị thu hồi Tên phân biệt (trong định danh X.509) Cấp độ đảm bảo đánh giá (trong đánh giá an toàn thông tin ISO/IEC 15408) Thuật toán chữ ký số đường cong Elliptic Viện Tiêu chuẩn Viễn thông Châu Âu Bộ tiêu chuẩn xử lý thông tin liên bang Hoa Kỳ Thiết bị bảo mật phần cứng (thiết bị lưu và xử lý khóa bí mật) Nhóm công tác kỹ thuật Internet Tổ chức Tiêu chuẩn hóa Quốc tế /Ủy ban Kỹ thuật điện quốc tế
Giao thức truy cập thư mục nhẹ Giao thức kiểm tra trạng thái chứng thư trực tuyến Bộ tiêu chuẩn mật mã khóa công khai Hạ tầng khóa công khai Tổ chức đăng ký Tài liệu tiêu chuẩn kỹ thuật do IETF ban hành Thuật toán mật mã khóa công khai Thuật toán băm an toàn Tổ chức cung cấp dịch vụ tin cậy Giờ Phối hợp Quốc tế Khung chuẩn cho chứng thư số trong hệ thống PKI |
2. QUY ĐỊNH KỸ THUẬT
2.1. Yêu cầu kỹ thuật
2.1.1. Yêu cầu đối với mật mã và chữ ký số
Sử dụng các kỹ thuật mật mã theo quy định tại Bảng 1:
Bảng 1 - Yêu cầu về kỹ thuật mật mã
Loại Yêu cầu |
Tiêu chuẩn tham chiếu |
Quy định áp dụng |
|
Ký hiệu |
Tên tiêu chuẩn |
||
Mật mã phi đối xứng và chữ ký số |
PKCS #1 (RFC 3447) |
RSA Cryptography standard |
- Áp dụng một trong hai tiêu chuẩn. - Đối với tiêu chuẩn RSA: + Tối thiểu phiên bản 2.1; + Áp dụng lược đồ RSAES-OAEP để mã hóa và RSASSA-PSS để ký. + Độ dài khóa tối thiểu là 2048 bit -Đối với tiêu chuẩn ECDSA: độ dài khóa tối thiểu là 256 bit |
ANSI X9.62- 2005 |
Public Key Cryptography for the Financial Services Industry: The Elliptic Curve Digital Signature Algorithm (ECDSA) |
||
Mật mã đối xứng |
TCVN 7816:2007 |
Công nghệ thông tin - Kỹ thuật mật mã - thuật toán mã dữ liệu AES |
Áp dụng một trong hai tiêu chuẩn |
FIPS PUB 197 |
Advanced Encryption standard |
||
Yêu cầu cho hàm băm |
FIPS PUB 180-4 |
Secure Hash standard |
Áp dụng một trong các hàm băm sau: SHA-256, SHA-384, SHA-512, SHA-512/224, SHA-512/256, SHA3-224, SHA3-256, SHA3-384, SHA3-512, SHAKE128, SHAKE256 |
FIPS PUB 202 |
SHA-3 standard: Permutation-Based Hash and Extendable- Output Functions |
||
2.1.2. Yêu cầu đối với thông tin, dữ liệu
Định dạng thông tin, dữ liệu đáp ứng các quy định tại Bảng 2
Bảng 2 - Yêu cầu về thông tin dữ liệu
Loại Yêu cầu |
Tiêu chuẩn tham chiếu |
Quy định áp dụng |
|
Ký hiệu |
Tên tiêu chuẩn |
||
Định dạng chứng thư chữ ký số và danh sách thu hồi chứng thư chữ ký số |
RFC 5280 |
Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile |
|
Cú pháp thông điệp mật mã |
PKCS #7 (RFC 2630) |
Cryptographic Message Syntax Standard |
Phiên bản 1.5 |
Cú pháp thông tin khóa riêng |
PKCS #8 (RFC 5208) |
Private-Key Information Syntax standard |
Phiên bản 1.2 |
Cú pháp yêu cầu chứng thực |
PKCS#10 (RFC 2986) |
Certification Request Syntax standard |
Phiên bản 1.7 |
Giao diện giao tiếp với các thẻ mật mã |
PKCS#11 |
Cryptographic token interface standard |
Phiên bản 2.20 |
Cú pháp trao đổi thông tin cá nhân |
PKCS#12 |
Personal Information Exchange Syntax standard |
Phiên bản 1.0 |
2.1.3. Yêu cầu đối với chứng thư chữ ký số
Chứng thư chữ ký số đáp ứng các quy định tại Bảng 3:
Bảng 3 - Yêu cầu đối với chứng thư chữ ký số
Loại Yêu cầu |
Tiêu chuẩn tham chiếu |
Quy định áp dụng |
|
Ký hiệu |
Tên tiêu chuẩn |
||
Chính sách chứng thư chữ ký số |
RFC 3647 |
Internet X.509 Public Key Infrastructure - Certificate Policy and Certification Practices Framework |
|
Lược đồ Giao thức truy nhập thư mục |
RFC 4523 |
Lightweight Directory Access Protocol (LDAP) Schema Definitions for X.509 Certificates |
|
Giao thức truy nhập thư mục |
RFC4510 |
Lightweight Directory Access Protocol (LDAP): Technical Specification Road Map |
Áp dụng bộ bốn tiêu chuẩn |
RFC4511 |
Lightweight Directory Access Protocol (LDAP): The Protocol |
||
RFC4512 |
Lightweight Directory Access Protocol (LDAP): Directory Information Models |
||
RFC 4513 |
Lightweight Directory Access Protocol (LDAP): Authentication Methods and Security Mechanisms |
||
Giao thức truyền, nhận chứng thư chữ ký số và danh sách chứng thư chữ ký số bị thu hồi |
RFC 2585 |
Internet X.509 Public Key Infrastructure - Operational Protocols: FTP and HTTP |
Áp dụng một hoặc cả hai giao thức FTP và HTTP |
Giao thức cho kiểm tra trạng thái chứng thư chữ ký số trực tuyến |
RFC 6960 |
X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP |
|
2.1.4. Yêu cầu đối với HSM và thiết bị mật mã, lưu khóa
Thiết bị HSM và thiết bị mật mã, lưu khóa phải đáp ứng các quy định tại Bảng 4:
Bảng 4 - Yêu cầu đối với thiết bị HSM và thẻ mật mã
Loại Yêu cầu |
Tiêu chuẩn tham chiếu |
Quy định áp dụng |
|
Ký hiệu |
Tên tiêu chuẩn |
|
|
Thiết bị HSM, và thiết bị mật mã, lưu khóa |
FIPS PUB 140-2 (tối thiểu mức 3) |
Security Requirements for Cryptographic Modules |
Áp dụng một trong ba tiêu chuẩn. |
FIPS PUB 140-3 (tối thiểu mức 3) |
Security Requirements for Cryptographic Modules |
||
EN 419221-5:2018 (tối thiểu EAL mức 4) |
Protection Profiles for TSP Cryptographic modules - Part 5: Cryptographic Module for Trust Services |
||
Token và Smart card |
FIPS PUB 140-2 (tối thiểu mức 2) |
Security Requirements for Cryptographic Modules |
|
FIPS PUB 140-3 (tối thiểu mức 2) |
Security Requirements for Cryptographic Modules |
||
2.2. Yêu cầu đối với mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng
2.2.1. Yêu cầu về quy trình vận hành và kiểm soát
Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng phải triển khai các biện pháp bảo đảm quy trình vận hành và kiểm soát cung cấp dịch vụ đáp ứng các quy định của tiêu chuẩn ETSI EN 319 411-1 (phiên bản V1.4.1).
2.3. Yêu cầu đối với mô hình ký số từ xa
2.3.1. Yêu cầu đối với hệ thống quản lý khóa bí mật, chứng thư chữ ký số và tạo chữ ký số của khách hàng
Hệ thống quản lý khóa bí mật, chứng thư chữ ký số và tạo chữ ký số của khách hàng đáp ứng các quy định tại Bảng 5:
Bảng 5 - Yêu cầu đối với chứng thư chữ ký số
Loại Yêu cầu |
Tiêu chuẩn tham chiếu |
Quy định áp dụng |
|
Ký hiệu |
Tên tiêu chuẩn |
|
|
Giao thức tạo chữ ký số |
ETSI TS 119 432 |
Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation |
Phiên bản V1.2.1 |
ứng dụng ký trên máy chủ ký số |
EN 419241-1:2018 |
Trustworthy Systems Supporting Server Signing - Part 1: General system security requirements |
|
Yêu cầu cho mô đun ký số |
EN 419241-2:2019 |
Trustworthy Systems Supporting Server Signing - Part 2: Protection Profile for QSCD for Server Signing |
|
2.3.2. Yêu cầu về quy trình vận hành và kiểm soát
Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số từ xa phải triển khai các biện pháp bảo đảm quy trình vận hành và kiểm soát cung cấp dịch vụ đáp ứng các quy định của tiêu chuẩn ETSI TS 119 431-1 (áp dụng phiên bản V1.1.1) và ETSI TS 119 431-2 (áp dụng phiên bản V1.1.1).
2.4. Yêu cầu đối với mô hình ký số trên thiết bị di động
2.4.1. Yêu cầu đối với chức năng và giao diện
Chức năng và giao diện của Hệ thống ký số trên thiết bị di động đáp ứng các yêu cầu quy định tại Bảng 6:
Bảng 6 - Yêu cầu đối với chức năng và giao diện
Loại Yêu cầu |
Tiêu chuẩn tham chiếu |
Quy định áp dụng |
|
Ký hiệu |
Tên tiêu chuẩn |
|
|
Yêu cầu về chức năng, nghiệp vụ |
ETSI TR 102 203 |
Mobile Commerce (M-COMM); Mobile Signatures; Business and Functional Requirements |
Phiên bản V1.1.1 |
Giao diện dịch vụ Web |
ETSI TS 102 204 |
Mobile Commerce (M-COMM); Mobile Signature Service; Web Service Interface |
Phiên bản V1.1.4 |
Khung bảo mật |
ETSI TR 102 206 |
Mobile Commerce (M-COMM); Mobile Signature Service; Security Framework |
Phiên bản V1.1.3 |
Thông số kỹ thuật chuyển vùng |
ETSI TS 102 207 |
Mobile Commerce (M-COMM); Mobile Signature Service; Specifications for Roaming in Mobile Signature Services |
Phiên bản V1.1.3 |
2.4.2. Yêu cầu đối với thẻ SIM
Thẻ SIM phải đáp ứng các yêu cầu tại Bảng 7:
Bảng 7 - Yêu cầu đối với thẻ SIM
Loại Yêu cầu |
Tiêu chuẩn tham chiếu |
Quy định áp dụng |
|
Ký hiệu |
Tên tiêu chuẩn |
|
|
Thẻ SIM |
FIPS PUB 140-2 (tối thiểu mức 2) |
Security Requirements for Cryptographic Modules |
Áp dụng một trong ba tiêu chuẩn. |
FIPS PUB 140-3 (tối thiểu mức 2) |
Security Requirements for Cryptographic Modules |
||
TCVN 8709 (ISO/IEC 15408) (tối thiểu EAL mức 4) |
Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn công nghệ thông tin (Common Criteria for Information Technology Security Evaluation) |
||
2.4.3. Yêu cầu về quy trình vận hành và kiểm soát
Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên thiết bị di động phải triển khai các biện pháp bảo đảm quy trình vận hành và kiểm soát cung cấp dịch vụ đáp ứng các quy định của tiêu chuẩn ETSI EN 319 411-1 (áp dụng phiên bản V1.4.1).
3. QUY ĐỊNH VỀ QUẢN LÝ
3.1. Phương thức đánh giá sự phù hợp đối với các yêu cầu tại mục 2.2.1, mục 2.3.2, mục 2.4.3 của Quy chuẩn thực hiện theo phương thức 6 (đánh giá hệ thống quản lý) theo quy định tại Thông tư 28/2012/TT-BKHCN ngày 12 tháng 12 năm 2012 quy định về công bố hợp chuẩn, công bố hợp quy và phương thức đánh giá sự phù hợp với tiêu chuẩn, quy chuẩn kỹ thuật và Thông tư 19/2025/TT-BKHCN ngày 06 tháng 10 năm 2025 quy định kiểm toán kỹ thuật với chữ ký điện tử dịch vụ tin cậy.
3.2. Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng thuộc phạm vi điều chỉnh tại mục 1.1 thực hiện công bố hợp quy theo quy định và chịu sự kiểm tra của các cơ quan quản lý nhà nước theo các quy định tại Thông tư 28/2012/TT-BKHCN ngày 12 tháng 12 năm 2012 quy định về công bố hợp chuẩn, công bố hợp quy và phương thức đánh giá sự phù hợp với tiêu chuẩn, quy chuẩn kỹ thuật; Thông tư 19/2025/TT-BKHCN ngày 06/10/2025 quy định kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy và các quy định hiện hành.
3.3. Phương tiện, thiết bị đo: tuân thủ các quy định hiện hành của pháp luật về đo lường.
4. TRÁCH NHIỆM CỦA TỔ CHỨC, CÁ NHÂN
4.1. Trách nhiệm của Tổ chức đánh giá sự phù hợp
4.1.1. Thực hiện đánh giá sự phù hợp theo đúng quy định của Quy chuẩn này và thực hiện các nghĩa vụ báo cáo kết quả hoạt động đánh giá chứng nhận hợp quy đến ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia theo các quy định hiện hành.
4.1.2. Lưu trữ hồ sơ chứng nhận theo quy định tại Thông tư số 03/2025/TT-BKHCN ngày 15/5/2025 của Bộ trưởng Bộ Khoa học và Công nghệ quy định thời hạn lưu trữ hồ sơ, tài liệu ngành Khoa học và Công nghệ.
4.2. Trách nhiệm của Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng
4.2.1. Tuân thủ các quy định trong quy chuẩn kỹ thuật này.
4.2.2. Lưu trữ hồ sơ chứng nhận theo quy định tại Thông tư số 03/2025/TT-BKHCN ngày 15/5/2025 của Bộ trưởng Bộ Khoa học và Công nghệ quy định thời hạn lưu trữ hồ sơ, tài liệu ngành Khoa học và Công nghệ.
5. TỔ CHỨC THỰC HIỆN
5.1. Trung tâm Chứng thực điện tử Quốc gia tổ chức triển khai hướng dẫn và quản lý theo quy định của Quy chuẩn kỹ thuật này.
Căn cứ vào quy định quản lý, Trung tâm Chứng thực điện tử Quốc gia có trách nhiệm đề xuất, kiến nghị Bộ Khoa học và Công nghệ sửa đổi, bổ sung nội dung Quy chuẩn kỹ thuật này.
5.2. Trong trường hợp các quy định pháp luật, văn bản quy phạm pháp luật viện dẫn tại Quy chuẩn kỹ thuật này có sửa đổi, bổ sung hoặc được thay thế thì thực hiện theo quy định tại văn bản mới. Trong trường hợp các tiêu chuẩn được viện dẫn trong Quy chuẩn này có sự thay đổi, bổ sung, thay thế thì thực hiện theo hướng dẫn của Bộ Khoa học và Công nghệ.