Nên dùng USB Token hay chữ ký số từ xa, và khi nào cần đến HSM? Cả ba đều là chữ ký số Viettel-CA nhưng hợp với những cách làm việc khác nhau. Bài viết giúp bạn chọn theo tình huống thực tế, với bảng tiêu chí và cây quyết định ngắn trước khi sang trang báo giá.
Ký chủ yếu trên một máy tính cố định và muốn tự giữ thiết bị: chọn USB Token. Cần ký trên điện thoại, ở nhiều nơi hoặc nhiều máy: chọn MySign, dịch vụ ký số từ xa của Viettel-CA. Hệ thống phải tự ký số lượng lớn như hóa đơn, chứng từ: chọn gói ký số máy chủ (HSM) hoặc tích hợp ký số từ xa qua API, tùy phương án nhà cung cấp. Doanh nghiệp có thể kết hợp nhiều hình thức, mỗi chứng thư cho một mục đích rõ ràng.
USB Token, MySign và HSM khác nhau ở đâu
Cả ba đều là chữ ký số công cộng, được bảo đảm bởi chứng thư do Viettel-CA – dịch vụ chứng thực chữ ký số của Viettel phát hành, nên giá trị pháp lý như nhau. Khác biệt nằm ở nơi lưu khóa bí mật và cách ra lệnh ký, tương ứng các mô hình dịch vụ nêu tại khoản 1 Điều 26 Nghị định 23/2025/NĐ-CP.
Khóa bí mật nằm trong thiết bị USB do người ký giữ. Ký trên máy tính đã cài phần mềm, nhập PIN khi ký.
Theo Viettel-CA, khóa bí mật của dịch vụ ký số từ xa nằm trong thiết bị bảo mật HSM đặt tại máy chủ của Viettel-CA; bạn xác nhận lệnh ký trên ứng dụng MySign. Viettel-CA có tài liệu tích hợp API MySign dạng đồng bộ và bất đồng bộ.
HSM (Hardware Security Module) là thiết bị bảo mật phần cứng chuyên dụng: khóa được tạo, lưu và dùng để ký ngay bên trong thiết bị. Khi gắn với phần mềm hóa đơn hay ERP, hệ thống có thể ký tự động theo quy tắc đã cấu hình. HSM có thể do doanh nghiệp tự đầu tư hoặc do nhà cung cấp vận hành.
Viettel-CA cho biết giải pháp ký số từ xa của mình dùng HSM đặt tại máy chủ của nhà cung cấp nên khách hàng không cần tự đầu tư thiết bị HSM, và có thể tích hợp với hệ thống công nghệ thông tin của khách hàng để ký số lượng giao dịch lớn. Trước khi quyết định, hãy hỏi nhà cung cấp nên tích hợp ký số từ xa hay dùng gói ký số máy chủ cho hệ thống của bạn.
Bài này chỉ tập trung vào việc chọn. Cơ chế và căn cứ pháp lý của ký số từ xa được giải thích trong bài chữ ký số từ xa là gì; khái niệm cặp khóa và chứng thư có trong bài chữ ký số là gì.
Bảng so sánh theo tiêu chí
| Tiêu chí | USB Token | MySign (ký số từ xa) | HSM, ký số máy chủ |
|---|---|---|---|
| Nơi lưu khóa bí mật | Trong Token do người ký giữ | Trong HSM đặt tại máy chủ của Viettel-CA | Trong HSM do doanh nghiệp đầu tư hoặc HSM của nhà cung cấp, theo phương án gói dịch vụ |
| Thiết bị cần có | Máy tính có cổng USB, phần mềm Token | Máy tính, điện thoại hoặc máy tính bảng có Internet; ứng dụng MySign để xác nhận | Máy chủ, phần mềm tích hợp; thường cần người phụ trách kỹ thuật |
| Ký trên điện thoại | Không phù hợp | Có | Không dành cho thao tác cá nhân |
| Ký tự động, tích hợp hệ thống | Hạn chế, cần người cắm Token và nhập PIN | Có API đồng bộ, bất đồng bộ; cần thống nhất phương án với nhà cung cấp | Mục đích chính |
| Rủi ro chính | Mất, hỏng, cho mượn Token, lộ PIN | Mất điện thoại, lộ yếu tố xác thực | Cấu hình sai, phân quyền lỏng |
| Khi mất, hỏng | Báo nhà cung cấp tạm dừng, làm thủ tục cấp lại | Báo nhà cung cấp khóa xác thực, kích hoạt thiết bị mới | Theo phương án dự phòng đã thống nhất với nhà cung cấp |
| Quản trị | Sổ theo dõi người giữ, serial, hạn dùng | Quản lý người được cấp và thiết bị đăng ký | Phân quyền, nhật ký ký, quy trình phê duyệt |
Chọn theo 5 tình huống thường gặp
Kế toán ngồi văn phòng, ký tờ khai và hóa đơn trên một máy
USB Token là lựa chọn đơn giản: cắm vào máy quen thuộc, phần mềm đã cài sẵn, không phụ thuộc điện thoại. Nếu thỉnh thoảng phải ký ngoài giờ ở nơi khác, cân nhắc thêm MySign thay vì mang Token về nhà.
Giám đốc hay di chuyển, cần duyệt hợp đồng và chứng từ
MySign phù hợp vì ký được trên điện thoại khi đang công tác. Người được giao quyền ký phải là người trực tiếp xác nhận lệnh ký trên thiết bị của mình; không giao ứng dụng xác thực cho người khác ký hộ.
Hộ kinh doanh
Nhu cầu thường xoay quanh kê khai thuế và hóa đơn điện tử với tần suất vừa phải. Chủ hộ quen làm trên máy tính thì USB Token đủ dùng; chủ yếu dùng điện thoại thì MySign tiện hơn. Gói dành cho hộ kinh doanh xem tại bài chữ ký số Viettel cho hộ kinh doanh.
Doanh nghiệp phát hành hóa đơn số lượng lớn, cần ký tự động
Khi phần mềm hóa đơn, hệ thống bán hàng hoặc ERP phải ký liên tục, cắm Token và nhập PIN từng lần không còn hợp lý. Gói ký số máy chủ (HSM) hoặc tích hợp ký số từ xa qua API cho phép hệ thống ký theo quy tắc đã cấu hình. Ký tự động vẫn là chữ ký của doanh nghiệp, nên cần phân quyền, nhật ký ký và quy trình phê duyệt. Xem các gói chữ ký số máy chủ, HSM.
Kế toán dịch vụ giữ chữ ký của nhiều khách hàng
Mỗi khách hàng có chứng thư riêng mang tên doanh nghiệp đó. Viettel-CA lưu ý một USB Token có thể lưu nhiều chứng thư nhưng chỉ có một mật khẩu, và mỗi chứng thư được coi như con dấu của doanh nghiệp, nên các doanh nghiệp khác nhau phải dùng USB Token khác nhau. Với USB Token, bạn quản lý nhiều thiết bị cùng lúc: dán nhãn, kiểm tra serial và mã số thuế trước mỗi lần ký như trong bài dùng nhiều USB Token trên một máy tính. Với MySign, lệnh ký phải được xác nhận trên thiết bị của người được giao, nên cần thống nhất quy trình với khách hàng trước. Cách nào cũng nên có văn bản giao nhận và thỏa thuận trách nhiệm.
Cây quyết định 4 câu hỏi
Có hệ thống cần tự ký hàng loạt không?
Có: hỏi phương án gói ký số máy chủ (HSM) hoặc tích hợp ký số từ xa qua API cho hệ thống đó, rồi trả lời tiếp các câu dưới cho người ký thủ công. Không: sang câu 2.
Người ký có thường ký ngoài văn phòng hoặc trên điện thoại?
Có: ưu tiên MySign. Không: sang câu 3.
Có ký trên nhiều máy tính khác nhau không?
Có, và ngại cài phần mềm Token trên từng máy: MySign giảm phụ thuộc thiết bị. Không, chỉ một máy cố định: USB Token là đủ.
Các hệ thống bạn dùng đã hỗ trợ hình thức vừa chọn chưa?
Kiểm tra cổng thuế, phần mềm hóa đơn, BHXH, hải quan bạn đang dùng. Nếu một hệ thống chưa hỗ trợ, giữ phương án dự phòng hoặc chọn hình thức khác cho việc đó.
Kết hợp nhiều hình thức và kiểm tra trước khi mua
Bạn không bắt buộc phải chọn một hình thức duy nhất. Một cách kết hợp có thể cân nhắc: HSM cho hệ thống hóa đơn, USB Token cho kế toán kê khai, MySign cho giám đốc duyệt hợp đồng. Mỗi chứng thư cần được đăng ký đúng trên hệ thống sử dụng nó.
- Ai là người ký, ai giữ Token hoặc thiết bị xác thực, ai duyệt cấu hình ký tự động.
- Các cổng và phần mềm cần dùng đã hỗ trợ hình thức định chọn.
- Thời hạn gói phù hợp chu kỳ sử dụng; chứng thư chữ ký số công cộng có thời hạn tối đa 3 năm (khoản 3 Điều 7 Nghị định 23/2025/NĐ-CP).
- Quy trình khi nhân sự nghỉ việc, mất Token hoặc đổi điện thoại, theo nguyên tắc bảo mật chữ ký số.
- Khi chuyển từ Token sang MySign, chứng thư mới cần được cập nhật trên các cổng trước khi ngừng dùng Token cũ.
Giá từng hình thức được cập nhật tại báo giá USB Token, báo giá MySign và báo giá HSM; thông tin dịch vụ ký số từ xa xem thêm tại trang MySign.
Câu hỏi thường gặp
Nên dùng USB Token hay chữ ký số từ xa?
Nếu bạn ký chủ yếu trên một máy tính cố định, USB Token đơn giản và tự chủ. Nếu thường ký trên điện thoại, ở nhiều nơi hoặc nhiều máy, ký số từ xa như MySign tiện hơn. Giá trị pháp lý của hai hình thức là như nhau.
HSM là gì, doanh nghiệp nhỏ có cần không?
HSM là thiết bị bảo mật phần cứng chuyên dụng lưu khóa và thực hiện ký bên trong thiết bị. Với ký số từ xa của Viettel-CA, HSM đặt tại máy chủ nhà cung cấp nên khách hàng không phải tự đầu tư; doanh nghiệp nhỏ ký thủ công ít thường chưa cần HSM riêng.
Một doanh nghiệp có dùng cả USB Token và MySign được không?
Có thể. Mỗi hình thức gắn với một chứng thư riêng, vì vậy cần đăng ký đúng chứng thư trên từng hệ thống và quản lý rõ ai giữ, ai ký.
Chuyển từ USB Token sang MySign cần lưu ý gì?
Kiểm tra các hệ thống bạn dùng đã hỗ trợ ký số từ xa, đăng ký hoặc cập nhật chứng thư MySign trên từng cổng, ký thử, rồi mới ngừng dùng Token cũ.
Giá USB Token, MySign và HSM là bao nhiêu?
Trung tâm hướng dẫn không nêu giá vì giá có thể thay đổi. Bạn xem báo giá từng hình thức trên trang báo giá của chukysoviettel.com hoặc gọi số hỗ trợ ở cuối bài.
Đã chọn được hình thức phù hợp?
So sánh báo giá USB Token, MySign và HSM, hoặc gọi để được tư vấn theo quy trình ký của doanh nghiệp bạn. Không cung cấp mã PIN hay OTP khi trao đổi.
Nguồn đối chiếu: Nghị định 23/2025/NĐ-CP; Luật Giao dịch điện tử 2023; Viettel-CA – Giải pháp ký số từ xa dùng HSM; Viettel-CA – Tích hợp API MySign; Viettel-CA – Một USB Token cho hai doanh nghiệp. Thông tin có thể thay đổi; ưu tiên hướng dẫn hiện hành của cơ quan/nhà cung cấp tại thời điểm thao tác. Cập nhật: 28/09/2026.
