Làm thế nào để hệ thống dấu thời gian không bị tấn công mạng?

Hệ thống cấp dấu thời gian (Time-stamping Authority – TSA) là "trọng tài" chứng minh thời điểm tồn tại của mọi giao dịch điện tử. Vì giữ vai trò cốt lõi này, hệ thống TSA luôn là mục tiêu béo bở của các cuộc tấn công mạng nhằm làm giả mốc thời gian hoặc sửa đổi dữ liệu. Nhằm giúp các doanh nghiệp công nghệ bảo vệ hạ tầng số trước các hiểm họa an ninh mạng, Công ty Luật ACC – đơn vị tư vấn pháp luật uy tín – xin phân tích các giải pháp bảo mật bắt buộc theo quy chuẩn pháp lý mới nhất hiện nay.

1. Khung pháp lý và đối tượng bắt buộc áp dụng tiêu chuẩn bảo mật

Để thiết lập lá chắn an ninh mạng đồng bộ, Bộ Khoa học và Công nghệ đã ban hành các tiêu chí kỹ thuật vận hành nghiêm ngặt thông qua văn bản quy phạm pháp luật sau:

• Văn bản ban hành: Thông tư số 51/2025/TT-BKHCN ngày 31/12/2025.
• Quy chuẩn đính kèm: Quy chuẩn kỹ thuật quốc gia về yêu cầu đối với dịch vụ cấp dấu thời gian (Ký hiệu: QCVN 138:2025/BKHCN), chính thức có hiệu lực từ ngày 01/07/2026.

Đối tượng áp dụng

Quy chuẩn này bắt buộc áp dụng đối với tất cả các tổ chức cung cấp dịch vụ cấp dấu thời gian tại Việt Nam (bao gồm các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đang thực hiện rà soát, nâng cấp hệ thống để đáp ứng hạn chót tuân thủ trước ngày 10/04/2027). Doanh nghiệp muốn vận hành dịch vụ mà không bị thu hồi giấy phép phải chứng minh được hệ thống có khả năng chống lại các cuộc tấn công mạng.

2. Giải pháp kỹ thuật cốt lõi chống tấn công mạng theo quy chuẩn mới

QCVN 138:2025/BKHCN đưa ra các yêu cầu khắt khe buộc các đơn vị vận hành phải triển khai để bảo vệ toàn vẹn hệ thống trước hacker:

Sử dụng thiết bị lưu trữ khóa chuyên dụng HSM

Hacker thường tấn công vào hệ thống nhằm đánh cắp khóa bí mật (Private key) dùng để ký số dấu thời gian. Quy chuẩn yêu cầu tổ chức phải sử dụng Mô-đun bảo mật phần cứng (HSM) chuyên dụng để khởi tạo và lưu trữ khóa. Thiết bị HSM này phải độc lập, có tính năng tự hủy thông tin khi phát hiện có hành vi cạy phá vật lý hoặc dò mã trái phép.

Cách ly và bảo vệ kênh đồng bộ thời gian (Kênh NTP/PTP)

Một hình thức tấn công mạng phổ biến là "tấn công giả mạo gói tin thời gian" nhằm đánh lừa máy chủ chạy sai giờ. Hệ thống bắt buộc phải sử dụng các giao thức đồng bộ thời gian có mã hóa, xác thực đầu cuối và thiết lập tường lửa (Firewall) nghiêm ngặt để cách ly kênh tiếp nhận tín hiệu UTC với mạng Internet công cộng.

 >>> Xem thêm tại đây: Thủ tục xác lập chứng cứ chống chối bỏ giao dịch

3. Công thức tính và phương pháp giám sát phát hiện tấn công mạng

Khi hacker thực hiện cuộc tấn công từ chối dịch vụ (DDoS) hoặc can thiệp làm chậm đường truyền tin nhằm thay đổi mốc thời gian, độ lệch thời gian của hệ thống sẽ lập tức biến động. Hệ thống giám sát phải liên tục tính toán chỉ số này.

Công thức xác định độ sai lệch thời gian do tấn công mạng

Công thức tính toán độ lệch tuyệt đối tại một thời điểm lấy mẫu được viết dưới dạng văn bản thông thường như sau:

Độ lệch tuyệt đối = Trị tuyệt đối của (Mốc thời gian phát hành trên dấu trừ đi Mốc thời gian chuẩn UTC thực tế tại cùng thời điểm)

Theo QCVN 138:2025/BKHCN, hệ thống vận hành an toàn phải đảm bảo: Độ lệch tuyệt đối luôn nhỏ hơn hoặc bằng Ngưỡng sai lệch tối đa cho phép (Thông thường quy chuẩn kỹ thuật giới hạn nghiêm ngặt ở mức ± 1,0 giây).

Ví dụ minh họa phát hiện can thiệp hệ thống bằng số liệu cụ thể

Giả sử hệ thống của Nhà cung cấp dịch vụ C bị hacker tấn công xâm nhập làm chậm gói tin đồng bộ thời gian. Hệ thống giám sát tự động thực hiện phép tính kiểm tra:

• Thời gian chuẩn UTC thực tế: 08 giờ 30 phút 00,100 giây.
• Thời gian ghi nhận trên dấu của hệ thống: 08 giờ 30 phút 01,550 giây.
• Ngưỡng sai lệch tối đa cho phép: ± 1,0 giây (1000 mili giây).

Các bước tính toán:

1. Hiệu số thời gian thực tế = 08 giờ 30 phút 01,550 giây – 08 giờ 30 phút 00,100 giây = 1,450 giây.
2. Lấy trị tuyệt đối, ta thu được Độ lệch tuyệt đối là: 1,450 giây.

Kết luận cảnh báo: Vì độ lệch thực tế (1,450 giây) vượt quá ngưỡng an toàn cho phép (1,0 giây), hệ thống giám sát tự động sẽ kích hoạt tình trạng khẩn cấp, cô lập máy chủ TSA bị ảnh hưởng và tạm dừng cấp dấu để ngăn chặn rủi ro pháp lý do hacker thao túng giờ.

 >>> Xem thêm tại đây: Cách xử lý khẩn cấp khi bị đối tác phủ nhận ngày ký

4. Bảng tổng hợp các biện pháp phòng chống tấn công mạng toàn diện

Để đảm bảo hệ thống không bị tê liệt trước các kịch bản tấn công tinh vi, tổ chức cung cấp dịch vụ phải xây dựng mô hình bảo mật nhiều lớp:

5. Tầm quan trọng của việc tuân thủ an ninh mạng đối với đơn vị cấp dấu

Việc xây dựng một hệ thống cấp dấu thời gian vững chắc, chống chịu được các đợt tấn công mạng không chỉ giúp tổ chức cung cấp dịch vụ tuân thủ đúng Thông tư 51/2025/TT-BKHCN mà còn mang lại những lợi ích chiến lược:

• Bảo vệ uy tín thương hiệu số của đơn vị cung cấp dịch vụ trước làn sóng tội phạm mạng ngày càng tinh vi.
• Đảm bảo tính pháp lý không thể chối bỏ cho hàng triệu hợp đồng điện tử, hồ sơ số của khách hàng đã tin tưởng lựa chọn dịch vụ.

Xây dựng lá chắn an ninh mạng vững chắc cho hệ thống dấu thời gian theo QCVN 138:2025/BKHCN là điều kiện tiên quyết để đảm bảo sự sống còn của một doanh nghiệp công nghệ số. Do đó, việc đầu tư bài bản vào hạ tầng HSM và quy trình kiểm soát nội bộ cần được các đơn vị triển khai quyết liệt trước khi thời hạn chuyển tiếp khép lại.

Nếu tổ chức của bạn đang tìm kiếm phương án tối ưu để thẩm định an toàn hệ thống, hoàn thiện quy trình công nghệ, hoặc cần tư vấn pháp lý chuyên sâu về các thủ tục chứng nhận hợp quy theo thông tư mới, hãy liên hệ ngay với Công ty Luật ACC. Bằng kinh nghiệm thực chiến và sự am hiểu sâu sắc trong lĩnh vực luật công nghệ và giao dịch điện tử, các chuyên gia của chúng tôi sẽ đưa ra những giải pháp bảo vệ tối ưu, giúp doanh nghiệp an tâm phát triển bền vững trên môi trường số.