Cách xử lý từng tình huống: quên PIN, token bị khoá, mất hoặc hỏng thiết bị, nghi lộ khoá, nhân sự giữ token nghỉ việc — kèm nghĩa vụ báo trong 24 giờ.
USB Token chứa khoá bí mật dùng để ký số nhân danh doanh nghiệp. Mất token, quên mã PIN hay nghi ngờ người khác đã dùng token không chỉ là sự cố kỹ thuật: nó có thể làm gián đoạn việc ký hợp đồng, kê khai thuế, phát hành hoá đơn — hoặc tệ hơn, để lại văn bản được ký nhân danh bạn mà bạn không hề biết.
Bài viết đưa ra cách xử lý cho từng tình huống thường gặp, theo nguyên tắc: bình tĩnh, cô lập rủi ro, liên hệ nhà cung cấp chứng thư (CA) sớm nhất có thể.
Xử lý nhanh theo từng tình huống
| Tình huống | Mức rủi ro | Việc cần làm ngay |
|---|---|---|
| Quên mã PIN | Thấp | Dừng thử đoán PIN; liên hệ CA để được hướng dẫn đặt lại hoặc mở khoá |
| Nhập sai PIN nhiều lần, token bị khoá | Thấp | Không cố thử tiếp; liên hệ CA để khôi phục thiết bị theo quy trình của họ |
| Token hỏng, máy không nhận | Trung bình | Thử cổng USB và máy khác, cài lại driver; nếu vẫn lỗi, liên hệ CA |
| Mất hoặc thất lạc token | Cao | Báo CA để tạm dừng chứng thư; đề nghị cấp chứng thư mới |
| Nghi lộ PIN hoặc token bị người khác dùng | Cao | Báo CA trong 24 giờ để tạm dừng/thu hồi; rà soát văn bản đã ký gần đây |
| Nhân sự giữ token nghỉ việc | Trung bình | Thu hồi thiết bị, đổi PIN; với chứng thư cá nhân của người đó, ngừng dùng cho giao dịch của công ty |
Quên mã PIN hoặc token bị khoá do nhập sai
Mã PIN bảo vệ khoá bí mật trong token. Hầu hết thiết bị tự khoá sau một số lần nhập sai liên tiếp do nhà cung cấp cấu hình — đây là cơ chế an toàn, không phải lỗi. Khi đã quên PIN, đừng thử đoán nhiều lần vì sẽ nhanh chóng khoá thiết bị.
- 1
Dừng thử PIN
Ghi lại số lần đã nhập sai nếu phần mềm hiển thị.
- 2
Liên hệ nhà cung cấp chứng thư
Chuẩn bị thông tin thuê bao (tên doanh nghiệp, mã số thuế, số hiệu chứng thư nếu có). Nhà cung cấp hướng dẫn đặt lại PIN hoặc khôi phục thiết bị theo quy trình của họ.
- 3
Đặt PIN mới và cất giữ an toàn
Chọn PIN khó đoán, không dùng ngày sinh hay dãy số liên tiếp; không dán PIN lên thiết bị.
Token bị hỏng hoặc máy tính không nhận
Trước khi kết luận token hỏng, hãy loại trừ các nguyên nhân phía máy tính: thử cổng USB khác (ưu tiên cổng trực tiếp trên máy, không qua bộ chia), cài lại trình điều khiển của nhà cung cấp, thử trên máy khác. Nếu dùng GoSign, kiểm tra thêm GoSign Desktop Signer đang chạy và trình duyệt đã được cấp quyền kết nối mạng nội bộ.
Nếu token thực sự hỏng, khoá bí mật bên trong thường không khôi phục được. Nhà cung cấp sẽ thu hồi chứng thư cũ và cấp chứng thư mới trên thiết bị mới.
Mất token hoặc nghi ngờ bị lộ khoá
Mất USB Token hoặc nghi ngờ bị lộ khoá là tình huống nghiêm trọng nhất vì người nhặt được token, nếu biết hoặc đoán được PIN, có thể ký nhân danh bạn. Hành động cần nhanh:
- 1
Báo nhà cung cấp chứng thư ngay
Yêu cầu tạm dừng hoặc thu hồi chứng thư. Nghị định 23/2025/NĐ-CP yêu cầu thuê bao thông báo trong 24 giờ khi phát hiện dấu hiệu khoá bí mật bị lộ, bị đánh cắp hoặc bị sử dụng trái phép.
- 2
Lưu lại bằng chứng
Ghi thời điểm phát hiện, thời điểm báo CA, người liên hệ và nội dung trao đổi. Thông tin này hữu ích nếu sau này có tranh chấp về một văn bản được ký trong khoảng thời gian đó.
- 3
Rà soát văn bản đã ký gần đây
Kiểm tra các giao dịch dùng chữ ký số từ lúc có thể đã mất token: tờ khai, hoá đơn, hợp đồng. Trên nền tảng trình ký, xem tiến trình và nhật ký để biết văn bản nào được ký, lúc nào.
- 4
Thông báo các bên liên quan
Báo đối tác thường xuyên giao dịch, bộ phận kế toán, pháp chế để cảnh giác với văn bản bất thường.
- 5
Đề nghị cấp chứng thư mới
Chứng thư đã thu hồi không dùng lại được; cần cặp khoá và chứng thư mới.
Nhân sự giữ token nghỉ việc
Cần phân biệt hai loại chứng thư. Chứng thư đứng tên doanh nghiệp là tài sản của công ty: thu hồi thiết bị khi bàn giao công việc và đổi mã PIN. Chứng thư cá nhân đứng tên người lao động thuộc về người đó: công ty nên ngừng dùng chứng thư này cho giao dịch nhân danh công ty và chuyển quyền ký cho người khác theo quy chế.
Trên GoSign, quản trị viên vô hiệu hoá tài khoản của người nghỉ việc và điều chỉnh các bước ký, quy trình mẫu hay uỷ quyền đang gán cho người đó, để hồ sơ không bị kẹt ở một người không còn làm việc.
Sau khi có chứng thư mới
- Cập nhật chứng thư mới trên các hệ thống đang dùng chữ ký số (thuế điện tử, bảo hiểm xã hội, hải quan, hoá đơn điện tử…) theo hướng dẫn của từng hệ thống
- Thông báo đối tác nếu họ đang lưu thông tin chứng thư của bạn để đối chiếu
- Trên GoSign, khi ký số chỉ cần chọn chứng thư mới trong hộp thoại "Chọn chứng thư số"; chứng thư cũ không dùng được sẽ hiển thị nhãn "Hết hạn / không hợp lệ"
- Cập nhật sổ theo dõi token nội bộ: người giữ, số hiệu chứng thư, ngày hết hạn
Văn bản đã ký trước khi mất token có bị ảnh hưởng?
Văn bản được ký khi chứng thư còn hiệu lực và trước thời điểm mất kiểm soát thiết bị được xem xét theo thời điểm ký. Điều quan trọng là xác định được mốc thời gian: thời điểm có thể đã mất token và thời điểm chứng thư bị tạm dừng. Nền tảng có lịch sử xử lý từng bước giúp việc này dễ hơn nhiều so với tìm lại email và file rời rạc.
Phòng ngừa: 7 quy tắc quản lý USB Token trong doanh nghiệp
- 1Lập sổ theo dõi: mỗi token ai giữ, chứng thư của ai, ngày hết hạn
- 2Đổi mã PIN mặc định (nếu có) ngay khi nhận thiết bị
- 3Không ghi PIN lên token, bao đựng hoặc để trong ghi chú trên máy tính dùng chung
- 4Không cho mượn token; khi vắng mặt thì dùng uỷ quyền để người khác ký bằng chứng thư của họ
- 5Rút token khỏi máy sau khi ký xong, cất ở nơi có khoá
- 6Chỉ định một đầu mối liên hệ nhà cung cấp và lưu sẵn số hỗ trợ
- 7Đưa quy trình xử lý sự cố vào quy chế nội bộ và phổ biến cho người giữ token
Dùng uỷ quyền có thời hạn thay cho việc cho mượn token khi lãnh đạo vắng mặt.
Hiểu rõ vòng đời chứng thư: tạm dừng khác thu hồi thế nào.
Đổi người giữ USB Token? Dùng mẫu biên bản bàn giao.
Phòng ngừa từ gốc: 16 mục kiểm tra an toàn cho máy tính dùng để ký số.
Căn cứ pháp lý & nguồn tham khảo