Giới thiệu chung về QCVN 5:2016/BQP

Quy chuẩn kỹ thuật quốc gia QCVN 5:2016/BQP quy định các yêu cầu kỹ thuật đối với chữ ký số và dịch vụ chứng thực chữ ký số chuyên dùng phục vụ các hoạt động trong lĩnh vực ngân hàng. Quy chuẩn này do Ban Cơ yếu Chính phủ biên soạn, Bộ Quốc phòng ban hành nhằm đảm bảo tính an toàn, bảo mật và toàn vẹn dữ liệu cho các giao dịch tài chính, ngân hàng điện tử tại Việt Nam.

Phạm vi điều chỉnh và Đối tượng áp dụng

• Phạm vi điều chỉnh: Quy chuẩn này quy định các yêu cầu kỹ thuật, tiêu chuẩn mật mã, cấu trúc chứng thư số, quy trình khởi tạo, kiểm tra chữ ký số và các yêu cầu bảo mật đối với hệ thống chữ ký số chuyên dùng trong hoạt động ngân hàng.
• Đối tượng áp dụng: Áp dụng đối với các tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng, các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, và các cơ quan, tổ chức, cá nhân tham gia thiết lập, sử dụng hệ thống chữ ký số trong lĩnh vực ngân hàng tại Việt Nam.

Các quy định kỹ thuật cốt lõi

• Thuật toán mật mã và độ dài khóa: Quy chuẩn bắt buộc sử dụng các thuật toán mật mã an toàn được thừa nhận. Đối với thuật toán ký số, yêu cầu sử dụng RSA với độ dài khóa tối thiểu từ 2048 bit trở lên hoặc ECDSA với độ dài khóa tương đương nhằm chống lại các nguy cơ tấn công và giải mã trái phép.
• Hàm băm bảo mật: Sử dụng các hàm băm an toàn thuộc họ SHA-2 (như SHA-256, SHA-512) để đảm bảo tính toàn vẹn của thông điệp dữ liệu trước khi thực hiện ký số.
• Định dạng chứng thư số và danh sách thu hồi: Chứng thư số phải tuân thủ tiêu chuẩn X.509 v3. Danh sách chứng thư số bị thu hồi (CRL) phải tuân thủ tiêu chuẩn X.509 v2 và giao thức kiểm tra trạng thái chứng thư số trực tuyến (OCSP) phải tuân thủ tiêu chuẩn RFC 6960.
• Thiết bị lưu trữ khóa (Token/HSM): Khóa bí mật của người dùng và của hệ thống chứng thực phải được lưu trữ an toàn trong các thiết bị phần cứng chuyên dụng như Smartcard, USB Token hoặc thiết bị bảo mật phần cứng (HSM) đạt tiêu chuẩn an toàn tối thiểu FIPS PUB 140-2 mức 3 hoặc tương đương.

Quy định về quản lý và chứng nhận hợp quy

• Đánh giá hợp quy: Các hệ thống chữ ký số và thiết bị mật mã sử dụng trong ngân hàng phải được kiểm tra, đánh giá và chứng nhận hợp quy bởi cơ quan quản lý có thẩm quyền thuộc Bộ Quốc phòng (Ban Cơ yếu Chính phủ) trước khi đưa vào vận hành chính thức.
• Trách nhiệm của các đơn vị vận hành: Các ngân hàng và tổ chức tín dụng có trách nhiệm thiết lập quy trình quản lý khóa chặt chẽ, định kỳ kiểm tra an toàn hệ thống và báo cáo tình hình sử dụng chữ ký số theo quy định của pháp luật.

Ý nghĩa và vai trò của quy chuẩn

Việc áp dụng QCVN 5:2016/BQP giúp chuẩn hóa hạ tầng chữ ký số trong ngành ngân hàng, ngăn ngừa các rủi ro về gian lận tài chính, giả mạo giao dịch và bảo vệ quyền lợi hợp pháp của khách hàng cũng như các tổ chức tín dụng trong kỷ nguyên số hóa.