Tiêu chuẩn kỹ thuật của một dịch vụ dấu thời gian hợp chuẩn

Việc xác thực chính xác thời điểm dữ liệu được khởi tạo ngày càng trở thành yếu tố sống còn, quyết định tính pháp lý và sự an toàn của mọi giao dịch điện tử. Để thiết lập một hành lang kỹ thuật chuẩn mực cho hoạt động này, Bộ Khoa học và Công nghệ đã ban hành một quy chuẩn pháp lý mới mang tính bắt buộc đối với thị trường công nghệ thông tin. Là một đơn vị uy tín và có kinh nghiệm dày dặn trong lĩnh vực tư vấn pháp luật, Công ty Luật ACC luôn chủ động đồng hành cùng các tổ chức, doanh nghiệp để cập nhật kịp thời các quy định mới nhất.và nắm rõ các điều kiện kỹ thuật bắt buộc để hoạt động đúng pháp luật.

1. Căn cứ pháp lý và đối tượng áp dụng của tiêu chuẩn mới

Dịch vụ cấp dấu thời gian (Time-Stamping Service) là một dịch vụ tin cậy nhằm gắn thông tin về ngày, giờ vào thông điệp dữ liệu để chứng minh thông điệp đó tồn tại tại một thời điểm xác định và chưa bị chỉnh sửa kể từ thời điểm đó.

Mọi quy định về tiêu chuẩn kỹ thuật đối với dịch vụ này hiện nay được điều chỉnh bởi văn bản pháp lý cốt lõi sau:

• Thông tư số 51/2025/TT-BKHCN ban hành ngày 31/12/2025 của Bộ Khoa học và Công nghệ.
• Văn bản này ban hành kèm theo Quy chuẩn kỹ thuật quốc gia về yêu cầu đối với dịch vụ cấp dấu thời gian (Ký hiệu: QCVN 138:2025/BKHCN).

Đối tượng bắt buộc áp dụng:

• Các tổ chức cung cấp dịch vụ cấp dấu thời gian thương mại tại Việt Nam.
• Các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng (CA công cộng) đang tích hợp hoặc có nhu cầu cung cấp dịch vụ cấp dấu thời gian.
• Các cơ quan, tổ chức, cá nhân có liên quan đến hoạt động đánh giá, chứng nhận hợp quy dịch vụ này.

Lưu ý: Quy chuẩn này không áp dụng đối với các tổ chức cung cấp dịch vụ cấp dấu thời gian chuyên dùng công vụ.

2. Tiêu chuẩn kỹ thuật bắt buộc của dịch vụ dấu thời gian hợp chuẩn

Theo QCVN 138:2025/BKHCN, một dịch vụ cấp dấu thời gian được coi là hợp chuẩn khi và chỉ khi hệ thống kỹ thuật đáp ứng đầy đủ các nhóm tiêu chuẩn nghiêm ngặt sau:

2.1. Yêu cầu về độ chính xác và đồng bộ nguồn thời gian

Thời gian được sử dụng để ký số trên dấu thời gian không được phép lấy từ các đồng hồ máy tính thông thường mà phải được đồng bộ trực tiếp với nguồn thời gian chuẩn:

• Phải kết nối và đồng bộ ổn định với nguồn thời gian quốc gia hoặc quốc tế (như UTC – Coordinated Universal Time) thông qua các thiết bị máy chủ thời gian chuyên dụng.
• Độ lệch thời gian cho phép giữa hệ thống cấp dấu thời gian và nguồn thời gian chuẩn UTC phải được kiểm soát nghiêm ngặt (theo đơn vị mili giây) nhằm đảm bảo tính chính xác tuyệt đối khi xảy ra tranh chấp pháp lý.

2.2. Tiêu chuẩn mã hóa và an toàn thuật toán

Để đảm bảo bên thứ ba không thể giả mạo hoặc làm sai lệch dấu thời gian, hệ thống cấp dấu thời gian bắt buộc phải sử dụng các thuật toán mã hóa mạnh mẽ:

• Thuật toán băm (Hashing Algorithm): Phải sử dụng các hàm băm an toàn thuộc thế hệ mới như SHA-256, SHA-3 hoặc cao hơn để tạo ra chuỗi định danh duy nhất cho thông điệp dữ liệu. Các thuật toán cũ bị rò rỉ lỗ hổng (như SHA-1 hoặc MD5) hoàn toàn bị nghiêm cấm.
• Thuật toán ký số (Signature Algorithm): Sử dụng các cặp khóa mật mã độ an toàn cao (như RSA tối thiểu 2048-bit, hoặc mã hóa đường cong ellip ECC) nhằm đảm bảo chữ ký số của nhà cung cấp dịch vụ trên dấu thời gian không thể bị bẻ khóa trong vòng nhiều thập kỷ.

2.3. Yêu cầu về thiết bị phần cứng chuyên dụng (HSM)

• Cặp khóa bí mật dùng để ký lên dấu thời gian phải được tạo ra, lưu trữ và xử lý hoàn toàn bên trong thiết bị mã hóa chuyên dụng HSM (Hardware Security Module) đạt tiêu chuẩn an toàn quốc tế (như FIPS 140-2 Level 3 hoặc tương đương).
• Thiết bị HSM phải có cơ chế tự hủy hoặc xóa thông tin khóa nếu phát hiện có hành vi can thiệp vật lý trái phép vào phần cứng.

 >>> Xem thêm tại đây: Cách xử lý khẩn cấp khi bị đối tác phủ nhận ngày ký

3. Quy trình vận hành và kiểm soát an toàn hệ thống

Bên cạnh hạ tầng máy móc, tổ chức cung cấp dịch vụ phải xây dựng một quy trình vận hành đồng bộ để bảo vệ tính toàn vẹn của chuỗi dữ liệu thời gian:

3.1. Quản lý nhật ký hệ thống (Audit Log)

• Hệ thống phải tự động ghi lại toàn bộ lịch sử (Nhật ký) của mọi thao tác cấu hình, đồng bộ thời gian, các yêu cầu cấp dấu thời gian thành công hoặc thất bại.
• Nhật ký này phải được lưu trữ an toàn, chống ghi đè, chống sửa đổi và phải sẵn sàng phục vụ công tác thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền.

3.2. Đảm bảo tính liên tục của dịch vụ

• Nhà cung cấp phải có các phương án dự phòng (Backup) về đường truyền Internet, nguồn điện (UPS, máy phát điện) và hệ thống máy chủ dự phòng thảm họa.
• Hệ thống phải cam kết thời gian hoạt động ổn định liên tục 24/7 để không làm gián đoạn các giao dịch điện tử của khách hàng.

 >>> Xem thêm tại đây: Thủ tục xác lập chứng cứ chống chối bỏ giao dịch

4. Lộ trình tuân thủ đối với các tổ chức cung cấp dịch vụ

Nhằm tạo điều kiện ổn định cho thị trường công nghệ thông tin và dịch vụ tin cậy, Thông tư số 51/2025/TT-BKHCN đưa ra lộ trình chuyển tiếp rất rõ ràng thông qua bảng dưới đây:

Việc ban hành Quy chuẩn QCVN 138:2025/BKHCN là bước đi chiến lược nhằm chuẩn hóa hạ tầng số và bảo vệ an toàn pháp lý cho các bên tham gia giao dịch. Để đảm bảo hệ thống vận hành đúng quy định và tránh các rủi ro pháp lý không đáng có, các tổ chức cung cấp dịch vụ cần nhanh chóng rà soát kỹ thuật theo đúng lộ trình nêu trên. Nếu quý doanh nghiệp có bất kỳ thắc mắc nào hoặc cần hỗ trợ tư vấn chứng nhận hợp quy chuyên sâu, hãy liên hệ ngay với Công ty Luật ACC để được các chuyên gia và luật sư uy tín hướng dẫn giải quyết kịp thời.