Bộ Khoa học và Công nghệ (KHCN) vừa ban hành Thông tư quy định kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy.
Thông tư này nhằm hoàn thiện hành lang pháp lý, tăng cường quản lý nhà nước và củng cố niềm tin của người dân, doanh nghiệp trong các giao dịch điện tử.
Thông tư được áp dụng đối với tổ chức, cá nhân tham gia hoặc có liên quan đến kiểm toán kỹ thuật hệ thống thông tin, quy trình cung cấp dịch vụ chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử, chữ ký số và các dịch vụ tin cậy khác.
Một điểm đáng chú ý là các tổ chức, cơ quan sử dụng hoặc cung cấp chữ ký điện tử bảo đảm an toàn được khuyến khích chủ động tiến hành kiểm toán kỹ thuật, tự đánh giá mức độ an toàn và tuân thủ tiêu chuẩn kỹ thuật thay vì chỉ chờ kiểm tra định kỳ. Riêng các tổ chức cung cấp dịch vụ tin cậy sẽ phải thực hiện kiểm toán kỹ thuật định kỳ 2 năm một lần để đảm bảo hệ thống luôn đáp ứng yêu cầu bảo mật và chất lượng.
Theo quy định, kiểm toán kỹ thuật gồm 2 giai đoạn: đánh giá thông tin, tài liệu trong giai đoạn lập kế hoạch và kiểm tra thực tế tại tổ chức được kiểm toán. Mỗi cuộc kiểm toán có thời hạn tối đa 6 tháng, có thể gia hạn thêm tối đa 45 ngày nếu cần hoàn thiện các hành động khắc phục.
Sau khi kết thúc, tổ chức kiểm toán phải lập Báo cáo kiểm toán kỹ thuật kèm theo quyết định cấp hoặc không cấp giấy chứng nhận. Báo cáo cần thể hiện đầy đủ thông tin về phương thức đánh giá, kết quả kiểm thử hệ thống, phân tích rủi ro bảo mật và khuyến nghị kỹ thuật.
Việc chỉ định tổ chức kiểm toán kỹ thuật do Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia (trực thuộc Bộ KHCN) thực hiện. Cơ quan này tiếp nhận, thẩm định hồ sơ và đề xuất Bộ trưởng chỉ định các đơn vị đủ năng lực. Trung tâm Chứng thực điện tử quốc gia (NEAC) chịu trách nhiệm tiếp nhận và tổng hợp các báo cáo kiểm toán từ các tổ chức, đồng thời lập báo cáo định kỳ gửi Bộ trưởng để phục vụ công tác quản lý nhà nước.
Theo Bộ KHCN, việc ban hành quy định kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy là bước tiến quan trọng trong bảo đảm an toàn, bảo mật và tính minh bạch trong giao dịch số. Quy định này không chỉ chuẩn hóa quy trình đánh giá độc lập, tăng cường khả năng kiểm soát rủi ro mà còn thúc đẩy năng lực tự chủ công nghệ, góp phần xây dựng môi trường số an toàn, đáng tin cậy và phát triển bền vững. Thông tư có hiệu lực từ ngày 1.1.2026.
