Hợp đồng đưa lên phần mềm ký số là của doanh nghiệp, nhưng ai được truy cập, lấy ra thế nào khi ngừng dùng? 8 câu hỏi về quyền sở hữu và 5 lớp bảo mật cần có.
Sau một năm dùng phần mềm ký số, gần như toàn bộ hợp đồng, quyết định, đề nghị thanh toán của doanh nghiệp nằm trên đó. Câu hỏi "dữ liệu này là của ai" nghe có vẻ hiển nhiên, cho đến ngày doanh nghiệp muốn đổi nhà cung cấp, hoặc kiểm toán yêu cầu xuất toàn bộ chứng từ của năm trước. Lúc đó, điều khoản trong hợp đồng dịch vụ mới là thứ quyết định bạn lấy lại được gì.
Ba lớp dữ liệu, ba câu hỏi sở hữu khác nhau
| Lớp dữ liệu | Ví dụ | Cần làm rõ |
|---|---|---|
| Nội dung văn bản | Tệp hợp đồng, phụ lục, tệp đính kèm, tệp đã ký | Doanh nghiệp là chủ sở hữu; nhà cung cấp chỉ lưu trữ, xử lý theo hợp đồng |
| Dữ liệu quá trình | Ai trình, ai duyệt, bình luận, thời điểm xử lý, nhật ký hoạt động | Có được xuất ra cùng văn bản không, lưu bao lâu |
| Dữ liệu người dùng | Họ tên, email, chức danh, ảnh chữ ký của nhân viên và đối tác | Là dữ liệu cá nhân, cần tuân thủ pháp luật về bảo vệ dữ liệu cá nhân |
8 câu hỏi nên hỏi nhà cung cấp
- 1Hợp đồng dịch vụ có ghi rõ doanh nghiệp là chủ sở hữu dữ liệu đưa lên hệ thống không?
- 2Dữ liệu được lưu ở đâu, do ai vận hành hạ tầng, có sao lưu định kỳ không?
- 3Nhân viên nhà cung cấp có truy cập được nội dung văn bản không, trong trường hợp nào, có được ghi lại không?
- 4Doanh nghiệp tự xuất được dữ liệu không: tệp đã ký, tệp đính kèm, lịch sử xử lý, theo định dạng nào?
- 5Khi ngừng dùng dịch vụ, có bao nhiêu thời gian để lấy dữ liệu ra, sau đó dữ liệu bị xử lý thế nào?
- 6Khi có sự cố an ninh ảnh hưởng đến dữ liệu, nhà cung cấp thông báo cho doanh nghiệp trong bao lâu?
- 7Phân quyền trong hệ thống chi tiết đến mức nào: ai xem được hồ sơ của phòng nào?
- 8Tệp đã ký có được giữ nguyên bản, không bị nén, chuyển định dạng làm mất chữ ký số không?
Bộ tiêu chí 4 nhóm để chọn phần mềm ký số cho doanh nghiệp
5 lớp bảo vệ dữ liệu một nền tảng ký số cần có
Một nền tảng ký số nghiêm túc không dựa vào một "bức tường" duy nhất mà bảo vệ dữ liệu theo nhiều lớp, để nếu một lớp bị thử thách, các lớp còn lại vẫn đứng vững. Năm lớp dưới đây là thứ nên hỏi nhà cung cấp, bên cạnh 8 câu hỏi về quyền sở hữu ở trên.
| Lớp | Bảo vệ điều gì | Cách làm |
|---|---|---|
| 1. An toàn khi truyền tải | Không ai đứng giữa đọc trộm tài liệu hay thông tin đăng nhập | Mọi dữ liệu giữa trình duyệt và máy chủ đi qua kênh mã hoá TLS/HTTPS |
| 2. Toàn vẹn văn bản đã ký | Mọi chỉnh sửa sau khi ký đều bị phát hiện | Kiểm tra ByteRange theo chuẩn PAdES/PKCS#7; người nhận bấm "Kiểm tra chữ ký" để xem |
| 3. Phân quyền chi tiết | Rò rỉ thông tin từ bên trong | Phân quyền theo vai trò và phòng ban; mỗi người chỉ thấy văn bản thuộc phạm vi của mình |
| 4. Quản lý phiên đăng nhập | Thiết bị bị mất hoặc phiên bị lợi dụng | Tài khoản bị vô hiệu hoá phải mất quyền truy cập, không chờ phiên cũ hết hạn |
| 5. Nhật ký hoạt động | Không truy được ai đã làm gì | Ghi lại các thao tác xem, ký, phê duyệt, từ chối, tải xuống cùng người thực hiện và thời điểm |
| Khía cạnh | Ký số trên nền tảng nhiều lớp | Ảnh chữ ký dán vào PDF |
|---|---|---|
| Gắn danh tính người ký | Có, qua chứng thư số | Không |
| Phát hiện chỉnh sửa sau khi ký | Có, nhờ toàn vẹn ByteRange | Không |
| Kiểm tra được tính hợp lệ | Có, bằng nút "Kiểm tra chữ ký" | Không có gì để kiểm tra |
| Kiểm soát ai xem được văn bản | Có, phân quyền vai trò và phòng ban | Phụ thuộc nơi lưu file |
| Truy vết hành động | Có, nhật ký hoạt động | Không |
Dấu hiệu cần cẩn trọng
- Hợp đồng dịch vụ không nhắc gì đến quyền sở hữu và việc xuất dữ liệu.
- Chỉ xem được văn bản trên hệ thống, không tải được tệp gốc đã ký về.
- Tệp tải về khác tệp đã ký, hoặc mở ra không còn chữ ký số.
- Không trả lời rõ được ai trong nhà cung cấp có quyền truy cập dữ liệu.
Việc doanh nghiệp tự làm, không phụ thuộc nhà cung cấp
- 1
Định kỳ tải bản gốc về kho của mình
Theo kỳ kế toán hoặc theo quý, tải tệp đã ký của các hồ sơ đã hoàn tất vào kho lưu trữ của doanh nghiệp.
- 2
Phân quyền tối thiểu
Mỗi người chỉ xem được hồ sơ cần cho công việc; rà soát quyền khi nhân sự chuyển bộ phận, nghỉ việc.
- 3
Quy định trong quy chế
Ai chịu trách nhiệm quản trị hệ thống, ai được xuất dữ liệu, lưu ở đâu, bao lâu.
Hợp đồng, chứng từ điện tử đã ký phải lưu bao lâu
GoSign trả lời những câu này thế nào?
Trên GoSign, mỗi hồ sơ có thể tải từng tệp hoặc Tải tất cả (.zip) để lấy tệp gốc đã ký về lưu trữ. Quyền xem, xử lý hồ sơ được phân theo vai trò; nhật ký hoạt động ghi lại các thao tác trong hệ thống; tiến trình hồ sơ giữ lịch sử ai xử lý bước nào, lúc nào. Với các câu hỏi về nơi lưu trữ, sao lưu và điều khoản dữ liệu khi ngừng dịch vụ, hãy đề nghị GoSign trả lời cụ thể bằng văn bản trong báo giá và hợp đồng, như với bất kỳ nhà cung cấp nào.
Ảnh thậtXác thực, toàn vẹn và kiểm tra chữ ký trên GoSign
Gửi danh sách câu hỏi này để nhận câu trả lời cùng báo giá