# Cẩm nang sử dụng iSecOS

**iSecOS 1.0-alpha7 (MotaX)** · Hệ điều hành desktop an toàn cho cơ quan chính phủ

> Tài liệu dành cho **cán bộ, công chức** sử dụng máy tính cài iSecOS trong công
> việc hằng ngày. Không yêu cầu kiến thức quản trị. Nếu bạn là quản trị viên CNTT,
> xem `docs/admin-guide.md`.

---

## Mục lục

1. [Giới thiệu iSecOS](#1-giới-thiệu-isecos)
2. [Làm quen màn hình desktop](#2-làm-quen-màn-hình-desktop)
3. [Phần mềm văn phòng LibreOffice](#3-phần-mềm-văn-phòng-libreoffice)
4. [Internet và Email](#4-internet-và-email)
5. [GoChat — chat nội bộ](#5-gochat--chat-nội-bộ)
6. [Gõ tiếng Việt](#6-gõ-tiếng-việt)
7. [In ấn và scan tài liệu](#7-in-ấn-và-scan-tài-liệu)
8. [USB và thiết bị ngoài](#8-usb-và-thiết-bị-ngoài)
9. [Bảo mật cá nhân](#9-bảo-mật-cá-nhân)
10. [Kết nối từ xa](#10-kết-nối-từ-xa)
11. [Chạy phần mềm Windows](#11-chạy-phần-mềm-windows)
12. [Cập nhật hệ thống](#12-cập-nhật-hệ-thống)
13. [Câu hỏi thường gặp (FAQ)](#13-câu-hỏi-thường-gặp-faq)
14. [Khắc phục sự cố](#14-khắc-phục-sự-cố)

---

## 1. Giới thiệu iSecOS

### 1.1. iSecOS là gì?

iSecOS là hệ điều hành dành cho máy tính công vụ của các cơ quan chính phủ và
lực lượng an ninh, do iSecurity xây dựng và cấp phép. iSecOS thay thế Windows
trên máy trạm nhưng vẫn đảm bảo bạn làm được mọi việc văn phòng thông thường:
soạn thảo văn bản, bảng tính, trình chiếu, email, duyệt web nội bộ, chat, in ấn.

Máy cài iSecOS được **quản lý tập trung** bởi đơn vị CNTT của cơ quan thông qua
cổng quản trị iSec Control Center (`https://isecos.isecurity.vn/portal/`). Mọi
chính sách bảo mật (yêu cầu mã OTP, kiểm soát USB, cập nhật phần mềm) do quản
trị viên đặt ra — bạn không cần tự lo các việc này.

### 1.2. Vì sao iSecOS an toàn hơn Windows thông thường?

| Khía cạnh | iSecOS | Windows thông thường |
|---|---|---|
| Mã hóa dữ liệu | Toàn bộ đĩa được mã hóa **LUKS2/AES-256** ngay khi cài — mất máy không lộ dữ liệu | BitLocker thường tắt mặc định ở bản Home |
| Mở khóa đĩa | Passphrase riêng + chip **TPM 2.0** mở khóa tự động an toàn | Chỉ mật khẩu Windows |
| Đăng nhập | Mật khẩu + **mã OTP** (xác thực hai yếu tố) bắt buộc khi được yêu cầu | Thường chỉ mật khẩu |
| USB | Ổ USB lưu trữ **chặn mặc định** (chống thất thoát dữ liệu) | Cắm là chạy — đường lây mã độc phổ biến |
| Cập nhật | Chỉ từ kho phần mềm nội bộ của cơ quan, **ký số kiểm soát** — không tải linh tinh từ internet | Cập nhật từ nhiều nguồn khó kiểm soát |
| Phần mềm không rõ nguồn gốc | Chặn chạy bằng cơ chế AppArmor + kiểm toán hành động | Có thể chạy file .exe bất kỳ |
| Gián điệp, quảng cáo | Không có phần mềm theo dõi, không telemetry thương mại | Nhiều dịch vụ gửi dữ liệu ra ngoài |

Nói ngắn gọn: iSecOS được "đóng khung an toàn" ngay từ lúc cài. Việc của bạn
chỉ là **tuân thủ vài quy tắc đơn giản** (mục 9) và làm việc bình thường.

### 1.3. Bộ phần mềm cài sẵn

| Phần mềm | Dùng để |
|---|---|
| **Chromium** | Duyệt web (bản không dịch vụ Google, tuân theo chính sách cơ quan) |
| **LibreOffice** | Văn bản (Writer), bảng tính (Calc), trình chiếu (Impress) |
| **Thunderbird** | Email, danh bạ, lịch công tác |
| **GoChat** | Chat nội bộ cơ quan |
| **Remmina** | Kết nối từ xa RDP/VNC (vào máy Windows, máy chủ) |
| **KeePassXC** | Két mật khẩu — lưu trữ mật khẩu an toàn |
| **VLC** | Phát video/audio |
| **Trình xem PDF (Evince)** | Xem, chú thích file PDF |
| **Quản lý file nén (File Roller)** | Mở file .zip, .7z, .rar… |
| **Trình quét tài liệu** | Scan qua máy scan đa chức năng |
| **Wine** | Chạy một số phần mềm Windows (.exe) đơn giản |

Ngôn ngữ hệ thống: **Tiếng Việt** (mặc định) và Tiếng Anh. Múi giờ mặc định
`Asia/Ho_Chi_Minh`.

### 1.4. Ba quy tắc vàng khi dùng máy iSecOS

1. **Không tự cài phần mềm** từ internet hoặc USB mang về. Cần phần mềm mới?
   Gửi yêu cầu qua GoChat hoặc email cho đơn vị CNTT.
2. **Không mang dữ liệu công vụ ra máy ngoài** bằng USB cá nhân. USB lưu trữ
   bị chặn mặc định; nếu công việc cần, CNTT sẽ cấp USB được phép (mục 8).
3. **Không chia sẻ mật khẩu, mã OTP** với bất kỳ ai — kể cả người tự xưng là
   CNTT. Đơn vị CNTT không bao giờ hỏi mật khẩu của bạn.

---

## 2. Làm quen màn hình desktop

iSecOS dùng môi trường desktop **GNOME 48** với giao diện hiện đại, Wayland.
Nếu bạn từng dùng Windows, bảng dưới đây giúp "dịch" các khái niệm quen thuộc:

| Việc cần làm | Trên Windows | Trên iSecOS (GNOME) |
|---|---|---|
| Mở Start menu | Nút Start | Phím **Super** (phím Windows) — gõ tên app cần tìm |
| Đổi cửa sổ | Thanh taskbar | **Alt + Tab**; hoặc chuột vào hàng **Dock** bên trái |
| Ghim app thường dùng | Ghim taskbar | Chuột phải icon trên Dock → *Thêm vào Favorites* |
| Xem desktop ảo | Task View (Win+Tab) | **Super** — tổng quan Vùng làm việc |
| Khóa màn hình | Win + L | **Super + L** |
| Mở File Explorer | Win + E | Mở app **Tệp** (Nautilus) trên Dock |
| Máy in, mạng, âm lượng | System tray góc phải | Menu **trên cùng bên phải** (Cài đặt nhanh) |

### 2.1. Tổng quan Hoạt động (Activities)

Nhấn phím **Super** (hoặc bấm chữ *Hoạt động* góc trên trái) để mở màn hình
tổng quan. Tại đây bạn thấy:

- **Ô tìm kiếm**: gõ vài chữ cái của app, file, hoặc thậm chí phép tính —
  ví dụ gõ `calc` (hoặc `máy tính`) hiện app máy tính, gõ `234*12` hiện
  kết quả ngay.
- **Cửa sổ đang mở** của vùng làm việc hiện tại.
- **Vùng làm việc (workspace)**: hàng workspace nằm ngang — kéo cửa sổ sang
  workspace khác bằng cách thả cửa sổ vào thumbnail bên phải màn hình.

### 2.2. Dock (thanh ứng dụng bên trái)

Dock hiển thị các app được ghim: Chromium, LibreOffice, GoChat, Thunderbird,
Remmina, Tệp, Terminal. Chấm tròn dưới icon = app đang chạy. Chuột phải vào
icon để mở cửa sổ mới hoặc ghim/bỏ ghim.

### 2.3. Cài đặt nhanh góc trên phải

Bấm vào dãy icon góc trên phải (mạng/âm lượng/pin) để mở bảng điều khiển:
bật/tắt Wi-Fi, chỉnh âm lượng, đổi độ sáng, bật chế độ Đêm (giảm ánh sáng
xanh), tắt máy / đăng xuất / khóa màn hình. Bấm nút hình bánh răng trong
bảng này để mở **Cài đặt** đầy đủ.

### 2.4. Vùng làm việc (workspace)

GNOME tự tạo thêm workspace khi bạn đẩy cửa sổ sang phải. Mỗi workspace như
một màn hình riêng — ví dụ: workspace 1 soạn văn bản, workspace 2 mở Chromium
tra cứu, workspace 3 mở GoChat. Phím tắt:

| Phím | Chức năng |
|---|---|
| **Super + PageUp / PageDown** | Chuyển sang workspace trên/dưới |
| **Super + Shift + PageUp / PageDown** | Đưa cửa sổ hiện tại sang workspace khác |

### 2.5. Bảng phím tắt cần nhớ

| Phím tắt | Chức năng |
|---|---|
| **Super** | Mở tổng quan Hoạt động / tìm kiếm |
| **Super + A** | Xem lưới toàn bộ ứng dụng |
| **Super + L** | Khóa màn hình (**khóa khi rời bàn, kể cả đi nhanh** — quy định bắt buộc) |
| **Super + D** | Ẩn/hiện tất cả cửa sổ (xem desktop) |
| **Super + Mũi tên trái/phải** | Đưa cửa sổ nửa màn hình trái/phải |
| **Super + Mũi tên lên** | Phóng to cửa sổ |
| **Alt + Tab** | Chuyển cửa sổ |
| **Alt + F4** | Đóng cửa sổ |
| **Super + V** | Xem danh sách thông báo |
| **PrtSc** | Chụp màn hình (cửa sổ chọn vùng hiện ra; file lưu trong `Ảnh/Ảnh chụp màn hình`) |
| **Ctrl + Alt + F3…F6** | Chuyển sang console văn bản (khi desktop treo; **Ctrl + Alt + F1** để quay lại) |
| **Super + . (dấu chấm)** | Bàn phím biểu tượng cảm xúc, ký tự đặc biệt |

> Mẹo: muốn phím tắt mở Terminal kiểu Windows (**Ctrl + Alt + T**), vào
> *Cài đặt → Bàn phím → Xem và tùy chỉnh phím tắt → Phím tắt tùy chỉnh*,
> thêm lệnh `gnome-terminal`.

### 2.6. Tệp (Files) và thư mục cá nhân

App **Tệp** (Nautilus) là "Explorer" của iSecOS. Vị trí thường dùng:

| Thư mục | Chứa gì |
|---|---|
| `Nhà` (/home/tên-đăng-nhập) | Dữ liệu cá nhân của bạn — nằm trong vùng đĩa **đã mã hóa** |
| `Tài liệu`, `Tải xuống`, `Ảnh`, `Màn hình nền` | Thư mục con tiêu chuẩn |
| `Khác → Máy tính` | Xem toàn bộ hệ thống file (cần quyền mới ghi được ngoài thư mục Nhà) |

Nén file: chuột phải → *Nén…* để tạo .zip/.7z. Mở file nén: nhấp đúp.
Cắm đĩa NTFS của máy Windows cũ: iSecOS đọc được (ntfs-3g) — nhưng nhớ chính
sách USB ở mục 8.

---

## 3. Phần mềm văn phòng LibreOffice

LibreOffice là bộ ứng dụng văn phòng đầy đủ, mở trực tiếp được file
Microsoft Office. Ba app chính:

| App | Tương đương Windows | Mở file |
|---|---|---|
| **LibreOffice Writer** | Microsoft Word | .docx, .doc, .odt, .rtf, .txt |
| **LibreOffice Calc** | Microsoft Excel | .xlsx, .xls, .ods, .csv |
| **LibreOffice Impress** | Microsoft PowerPoint | .pptx, .ppt, .odp |

Mở nhanh: Dock có icon **LibreOffice** (bấm mở Start Center chọn tài liệu) hoặc
đơn giản **nhấp đúp file** trong app Tệp.

### 3.1. Writer — soạn văn bản

Các thao tác cơ bản giống Word: gõ chữ, **Ctrl + B/I/U** (đậm/nghiêng/gạch
chân), chọn phông ở thanh định dạng, chèn bảng (*Chèn → Bảng*), chèn hình
(*Chèn → Hình ảnh*), đánh số trang (*Chèn → Đánh số trang*).

Việc nên làm đầu tiên với văn bản dài — dùng **kiểu (style)**: cửa sổ bên phải
(*F11*) có sẵn Tiêu đề 1, Tiêu đề 2… Dùng kiểu giúp làm mục lục tự động
(*Chèn → Mục lục và chỉ mục*) và định dạng thống nhất theo chuẩn cơ quan.

**Ký hiệu văn bản hành chính Việt Nam** (số/ký hiệu, nơi nhận, chữ ký số…):
dùng bảng và canh lề như trong Word; phông Times New Roman nếu cơ quan yêu cầu
— xem mục 3.4 về phông chữ tương thích.

### 3.2. Calc — bảng tính

Giống Excel về thao tác chính: chọn ô, kéo công thức, hàm `SUM`, `AVERAGE`,
`VLOOKUP`, `IF`… đặt tên hàm tiếng Anh như Excel. Lưu ý khác biệt nhỏ:

| Việc | Excel | LibreOffice Calc |
|---|---|---|
| Chốt sửa ô | Enter | Enter (giống) |
| Điền nhanh chuỗi | Kéo tay cầm ô | Kéo tay cầm ô hoặc **Ctrl + D** điền xuống |
| Đóng băng hàng tiêu đề | *View → Freeze Panes* | *Trình đơn → Trang → Đóng băng ô/hàng* |
| Xuất PDF | *File → Save As PDF* | *Tệp → Xuất khẩu dưới dạng → PDF* |
| Bảo vệ trang tính | *Review → Protect* | *Công cụ → Bảo vệ trang tính* |

### 3.3. Impress — trình chiếu

Mở/soạn slide, chế độ trình chiếu bằng **F5**. Trình tự thao tác tiêu biểu:
chọn mẫu slide bên phải → gõ nội dung placeholder → *Slide-show từ slide hiện
tại* Shift+F5. Ghi chú thuyết trình: ô dưới mỗi slide (*Xem → Ghi chú*).

### 3.4. Mở và lưu file .docx/.xlsx/.pptx (trao đổi với máy Windows)

iSecOS đọc/ghi trực tiếp định dạng Office 2007 trở lên (.docx, .xlsx, .pptx).
Để file mở trên máy Windows **không bị lệch trình bày**, lưu ý:

1. **Lưu đúng định dạng**: *Tệp → Lưu dưới dạng…* → chọn kiểu file:
   - `Tài liệu Word 2007-365 (.docx)` khi soạn văn bản
   - `Bảng tính Excel 2007-365 (.xlsx)` khi làm bảng tính
   - `Bản trình chiếu Office Open XML (.pptx)` khi làm slide

   (Nếu để mặc định, LibreOffice lưu dạng chuẩn mở .odt/.ods/.odp — máy
   Windows có Office mới cũng mở được nhưng nên thống nhất .docx theo quy
   định cơ quan.)

2. **Phông chữ**: iSecOS cài sẵn bộ phông tương thích metric với phông
   Windows nên chữ không bị xê dịch dòng:

   | Phông trong file Windows | iSecOS tự dùng | Ghi chú |
   |---|---|---|
   | Calibri | Carlito | Thay thế hoàn toàn tương đồng |
   | Cambria | Caladea | Tương đồng |
   | Arial | Liberation Sans | Tương đồng |
   | Times New Roman | Liberation Serif | Tương đồng |
   | Courier New | Liberation Mono | Tương đồng |

   Nếu văn bản bắt buộc dùng đúng phông gốc (bản in chính thức), lưu ý chữ có
   thể hiển thị hơi khác trên iSecOS — in thử một trang để kiểm tra.

3. **Xuất PDF để gửi đi chính thức**: *Tệp → Xuất khẩu dưới dạng → Xuất khẩu
   dưới dạng PDF* — PDF giữ nguyên trình bày trên mọi máy, an toàn hơn file
   .docx dễ sửa.

### 3.5. Mẹo làm việc hiệu quả

- **Bản nháp tự lưu**: LibreOffice tự lưu phục hồi nếu mất điện — khi mở lại
  sẽ hỏi khôi phục. Vẫn nên Ctrl+S thường xuyên.
- **Mở nhiều file**: mỗi file một cửa sổ, tìm bằng Alt+Tab.
- File Excel có **Macro (VBA)**: Calc mở được nội dung chính nhưng macro VBA
  phức tạp (nút bấm, form) có thể không chạy — báo CNTT để xử lý phương án
  khác (mục 11).

---

## 4. Internet và Email

### 4.1. Chromium — duyệt web

Chromium là trình duyệt giống Chrome nhưng **bản trong suốt, không dịch vụ
Google**, tuân theo chính sách an toàn do cơ quan đặt.

**Duyệt web hằng ngày**: nhập địa chỉ vào thanh địa chỉ (omnibox). Trang nội
bộ của cơ quan mở bình thường; một số trang internet công cộng có thể bị chặn
theo danh mục chính sách — gặp thông báo "Bị chặn bởi chính sách" là đúng
thiết kế, liên hệ CNTT nếu cần mở.

**Dấu trang (bookmark)**:

| Việc | Cách làm |
|---|---|
| Lưu dấu trang | **Ctrl + D** → chọn thư mục → *Lưu* |
| Quản lý dấu trang | **Ctrl + Shift + O** — kéo thả phân nhóm |
| Thanh dấu trang | **Ctrl + Shift + B** bật/tắt |
| Lịch sử | **Ctrl + H** |
| Chế độ riêng tư cục bộ | **Ctrl + Shift + N** (cửa sổ ẩn danh — không lưu dấu vết trên máy) |

**Tiện ích mở rộng (extensions)**: khác với Chrome cá nhân, việc cài tiện ích
từ cửa hàng trực tuyến có thể bị **chặn hoặc giới hạn theo chính sách cơ quan**
(quản trị viên kiểm duyệt danh mục an toàn). Nếu tiện ích cần cho công việc
(ký số, đọc file…), gửi yêu cầu CNTT; tiện ích được phép sẽ xuất hiện sẵn hoặc
được phê duyệt từ xa.

**Chính sách doanh nghiệp**: nhiều cài đặt (trang chủ, proxy, cập nhật, tải
file về) được quản lý tập trung. Kiểm tra chính sách đang áp trên máy của bạn:
gõ `chromium://policy` vào ô địa chỉ. Những cài đặt "do tổ chức của bạn quản
ly" sẽ có khoá/mô tả đi kèm — không tự ý tìm cách gỡ bỏ.

**An toàn khi duyệt web**:

- Chỉ tải file từ nguồn nội bộ được phép; file tải về nằm trong thư mục
  `Tải xuống`.
- Gặp cảnh báo "Kết nối không phải riêng tư" — đừng bấm "Nâng cao → Tiếp tục"
  với trang đăng nhập; báo CNTT nếu đó là trang công vụ (có thể chứng thư hết
  hạn).
- Không nhập mật khẩu công vụ vào trang web ngoài trình duyệt được phép.

### 4.2. Thunderbird — email, danh bạ, lịch

#### Cấu hình tài khoản email lần đầu

1. Mở **Thunderbird** (Dock hoặc tìm bằng Super).
2. Hộp thoại *Thiết lập Tài khoản Thư Hiện có* hiện ra — nhập:
   - **Tên của bạn**: hiển thị khi gửi thư (VD: `Nguyễn Văn A`)
   - **Địa chỉ Email**: tài khoản công vụ (VD: `nguyenvana@so.gov.vn`)
   - **Mật khẩu**: mật khẩu email do CNTT cấp
3. Bấm *Tiếp tục*. Thunderbird tự dò cấu hình; nếu máy chủ không công bố
   tự động, nhập tay theo thông tin CNTT cấp (bảng dưới là **giá trị mẫu** —
   lấy số thực tế của cơ quan bạn):

   | Thiết lập | IMAP (nhận thư) | SMTP (gửi thư) |
   |---|---|---|
   | Máy chủ | `mail.so.gov.vn` | `mail.so.gov.vn` |
   | Cổng | `993` | `465` hoặc `587` |
   | Bảo mật SSL/TLS | SSL/TLS | SSL/TLS (cổng 465) hoặc STARTTLS (cổng 587) |
   | Xác thực | Mật khẩu thường | Mật khẩu thường |

4. Bấm *Kiểm tra lại* → *Hoàn tất*. Danh sách thư tải về.

> **IMAP hay POP3?** Cơ quan khuyến nghị **IMAP** (thư nằm trên máy chủ, đồng
> bộ nhiều máy, sao lưu tập trung). Nếu được cấp POP3: chọn POP3 ở bước dò,
> thư tải về máy — nhớ máy của bạn là đĩa mã hóa nên an toàn, nhưng mất máy
> mà chưa kịp sao lưu là mất thư đã tải.

#### Sử dụng thư hằng ngày

| Việc | Cách làm |
|---|---|
| Soạn thư mới | **Ctrl + N**; đính kèm file: nút hình kẹp giấy hoặc **Ctrl + Shift + A** |
| Trả lời / Trả lời tất cả | **Ctrl + R** / **Ctrl + Shift + R** |
| Chuyển tiếp | **Ctrl + L** |
| Tìm thư | Ô tìm kiếm trên (theo người gửi, tiêu đề, nội dung) |
| Thư mục | Kéo thả thư vào thư mục; chuột phải → *Tạo thư mục con* |
| Chữ ký số / mã hóa thư | Hỏi CNTT cấu hình chứng thư S/MIME hoặc OpenPGP |

**Chống lừa đảo qua email** — nguyên tắc:

- Đừng bấm link đòi "xác minh mật khẩu" — CNTT không bao giờ gửi thư dạng đó.
- File đính kèm `.exe`, `.js`, file nén có mật khẩu lạ → **không mở**, báo
  CNTT qua GoChat.
- Người gửi quen nhưng nội dung lạ/đòi chuyển tiền → gọi điện xác nhận bằng
  số điện thoại nội bộ trước khi hành động.

#### Danh bạ (Address Book)

Mở bằng **Ctrl + Shift + B** hoặc *Công cụ → Danh bạ*. Thêm liên hệ mới: nút
*Danh bạ Mới*. Danh bạ dùng chung của cơ quan (LDAP) — nếu CNTT cấu hình, gõ
tên vào ô *Người nhận* là tự gợi ý địa chỉ.

#### Lịch (Calendar)

Thunderbird có sẵn lịch và lịch công việc:

- Tạo lịch cá nhân: *Tệp → Mới → Lịch* → chọn "Trên máy tính" (lưu trong
  Thunderbird) hoặc "Trên mạng" (CalDAV — đồng bộ máy chủ lịch cơ quan, CNTT
  cấp đường dẫn + tài khoản).
- Tạo sự kiện: nhấp đúp vào ô ngày trong khung lịch, nhập tiêu đề, giờ,
  địa điểm, mời người khác (nhập email → gửi thiệp mời .ics).
- Xem lịch kiểu tuần/tháng: thẻ *Lịch* (**Ctrl + Shift + C**), công việc
  kiểu danh sách: thẻ *Công việc* (**Ctrl + Shift + D**).
- Nhập lịch từ file .ics: *Sự kiện và Nhiệm vụ → Nhập…*

---

## 5. GoChat — chat nội bộ

**GoChat** là ứng dụng nhắn tin nội bộ của cơ quan — kênh liên lạc chính thức
thay thế Zalo/messenger cá nhân trong công việc.

### 5.1. Đăng nhập lần đầu

1. Mở **GoChat** từ Dock.
2. Nhập **tài khoản công vụ** và **mật khẩu** (do CNTT cấp — thường trùng hệ
   thống email nội bộ).
3. Máy chủ đã được cấu hình sẵn trỏ về hạ tầng chat của cơ quan; nếu bản cập
   nhật nào hỏi địa chỉ máy chủ, để nguyên giá trị có sẵn.

### 5.2. Sử dụng hằng ngày

| Việc | Cách làm |
|---|---|
| Trò chuyện trực tiếp | Danh sách bên trái → chọn người (tìm theo tên) → gõ tin nhắn |
| Tạo nhóm theo đơn vị/dự án | Nút *+* → *Nhóm mới* → chọn thành viên |
| Kênh thông báo đơn vị | Tham gia kênh (channel) do quản trị tạo — dạng "phòng" công khai |
| Gửi file | Nút kẹp giấy — file gửi nội bộ, đã qua kiểm soát an toàn |
| Thông báo khi có tin mới | GoChat chạy nền (icon trên thanh trên cùng); chưa đọc có chấm đỏ |
| Lịch sử tin nhắn | Tìm kiếm trong hộp thoại bằng ô tìm kiếm trên cùng |

**Lưu ý an toàn**:

- Chỉ trao đổi **thông tin đúng phạm vi** của nhóm/kênh — lịch sử chat có thể
  được kiểm toán theo quy định cơ quan.
- Vẫn áp dụng quy tắc không gửi mật khẩu/OTP cho ai qua chat.
- File nhận được từ đồng nghiệp vẫn mở bằng app tương ứng (LibreOffice,
  Evince…); file khả nghi (dù từ người quen) — xác nhận trước khi mở.

---

## 6. Gõ tiếng Việt

iSecOS cài sẵn bộ gõ **ibus-unikey** — gõ tiếng Việt mọi nơi (LibreOffice,
Thunderbird, Chromium, GoChat, ô tìm kiếm…).

### 6.1. Kiểm tra và bật Unikey

Vào **Cài đặt → Bàn phím** → mục **Nguồn nhập (Input Sources)**. Cần thấy
ít nhất hai nguồn:

- `English (US)` — gõ tiếng Anh
- `Tiếng Việt (Unikey)` — gõ tiếng Việt

Nếu thiếu `Tiếng Việt (Unikey)`: bấm **+** → tìm `Vietnamese` → chọn
`Vietnamese (Unikey)` → *Thêm*.

### 6.2. Chuyển đổi giữa tiếng Việt / tiếng Anh

| Cách | Thao tác |
|---|---|
| Phím tắt toàn hệ thống | **Super + Space** (bấm nhiều lần để xoay vòng các nguồn nhập) |
| Chuột | Bấm chữ `VI`/`EN` trên thanh trên cùng (góc trên phải) → chọn nguồn |
| Tạm tắt tiếng Việt (cần gõ chữ w, z nguyên văn — tên file, mật khẩu…) | Chuyển sang English (US) bằng Super + Space, gõ xong chuyển lại |

### 6.3. Chọn kiểu gõ Telex / VNI

Bấm chữ `VI` trên thanh trên cùng → **Công cụ Unikey / Tuỳ chọn**, hoặc chạy lệnh
`ibus-setup` trong Terminal rồi chọn `Tiếng Việt (Unikey) → Tuỳ chọn`. Các
thiết lập quan trọng:

| Tuỳ chọn | Giá trị khuyến nghị | Ý nghĩa |
|---|---|---|
| **Kiểu gõ** | `Telex` hoặc `VNI` | Telex: `aa → â, ee → ê, ow → ơ, aw → ă, w → ư, dd → đ`. VNI: `a1 → á, a2 → à, a6 → â, a8 → ạ, đ = dd` |
| **Bảng mã** | `Unicode` | Chuẩn hiện đại — hiển thị đúng mọi app |
| **Phím bỏ dấu** | `Z` (mặc định) | Gõ `z` sau nguyên âm để bỏ dấu đã gõ (ví dụ `anz → an`) |
| **Gõ kiểu cũ (`òa`, `uí`…)** | tùy thói quen | Cho phép đánh vần kiểu truyền thống thay vì chuẩn `oà` |
| **Sửa lỗi chính tả (spelling)** | tùy thói quen | Tự sửa một số lỗi gõ phổ biến khi gõ nhanh |

Ví dụ Telex: gõ `Tieengs Vieetj` → `Tiếng Việt` (aa→â, ee→ê, ow→ơ, aw→ă,
w→ư, dd→đ, f→huyền, s→sắc, r→hỏi, x→ngã, j→nặng).
Ví dụ VNI: gõ `Tie61ng Vie65t` → `Tiếng Việt`
(6=mũ, 1=sắc, 2=huyền, 3=hỏi, 4=ngã, 5=nặng).

> **Mẹo**: khi gõ tên file, đường dẫn website, mã số… không cần dấu, bấm
> **Super + Space** chuyển sang EN cho nhanh, gõ xong chuyển lại.

---

## 7. In ấn và scan tài liệu

### 7.1. Kết nối máy in mạng lần đầu

1. Vào **Cài đặt → Máy in** (hoặc mở app *Máy in* / `system-config-printer`).
2. Bấm **+** (Thêm máy in). iSecOS tự dò máy in cùng dải mạng. Nếu danh sách
   không thấy, chọn *Nhập bằng địa chỉ* và nhập IP máy in (VD: `10.0.5.31`) —
   xin địa chỉ từ CNTT hoặc in trang cấu hình từ máy in.
3. Chọn đúng **driver** (thường tự nhận); đặt tên dễ nhớ (VD: `Kyocera-S3-4F`).
4. In trang kiểm tra để xác nhận.

Cơ chế in chuẩn **CUPS**: mọi máy in dùng chung hệ thống này. Cần tinh chỉnh
nâng cao (mặc định hai mặt, chất lượng bản nháp…): vào trang quản trị
`http://localhost:631` (mở trong Chromium, đăng nhập bằng tài khoản máy) hoặc
chuột phải máy trong app *Máy in* → *Thuộc tính*.

### 7.2. In tài liệu

1. Trong app (LibreOffice, Evince, Chromium…): **Ctrl + P**.
2. Chọn máy in; đặt số bản, trang cụ thể (`2-5` = trang 2 đến 5).
3. In hai mặt: mục *Two-Sided* chọn `Long Edge` (lật sách) hoặc `Short Edge`
   (lật sổ ngang). Khuyến nghị in hai mặt để tiết kiệm — chuẩn "văn phòng
   không giấy" của cơ quan.
4. Bấm *In*. Biểu tượng in xuất hiện trong vùng thông báo (**Super + V**) —
   bấm để xem/hủy việc in đang chờ.

**Lỗi thường gặp khi in**: xem bảng khắc phục sự cố (mục 14).

### 7.3. Scan tài liệu

Máy scan đa chức năng (in + scan qua mạng) dùng app **Trình quét tài liệu**
(Document Scanner):

1. Mở app (tìm `scan` bằng Super).
2. Chọn nguồn scan trong danh sách (máy đa chức năng của đơn vị).
3. Đặt giấy, bấm **Quét**. Xem trước từng trang; quét tiếp trang kế.
4. Lưu: menu hamburger → **Xuất** — chọn PDF (nhiều trang gộp 1 file) hoặc
   ảnh PNG/JPEG; chọn độ phân giải 300 dpi cho văn bản chuẩn.

File scan lưu mặc định trong thư mục `Tài liệu` hoặc `Ảnh` — kiểm tra bằng
app Tệp.

---

## 8. USB và thiết bị ngoài

### 8.1. Chính sách mặc định — vì sao USB không tự chạy?

iSecOS bật cơ chế **DLP (chống thất thoát dữ liệu)** với quy tắc:

| Loại thiết bị | Trạng thái mặc định |
|---|---|
| Bàn phím, chuột USB (HID) | **Hoạt động bình thường** |
| Ổ USB lưu trữ (USB stick, ổ cứng rời, thẻ SD) | **BỊ CHẶN** — không mount, không thấy file |
| Điện thoại kết nối chế độ "truyền file" (MTP) | Xem như thiết bị lưu trữ — bị chặn theo chính sách |

Lý do: USB là đường rò rỉ dữ liệu số 1 và đường lây mã độc phổ biến nhất.
Mọi lần cắm/rút thiết bị đều được **ghi nhật ký kiểm toán** gửi về trung tâm.

### 8.2. Khi công việc cần dùng USB

1. Liên hệ CNTT, cung cấp **thiết bị cụ thể** (thường là USB công vụ được dán
   ký hiệu).
2. CNTT xem ID thiết bị (`isecos-dlp status` phía họ) và thêm vào **danh sách
   trắng** của máy bạn — quy trình chỉ mất vài phút, có thể làm từ xa qua
   Control Center.
3. Sau khi được phép: cắm USB → mở app **Tệp** → USB xuất hiện ở thanh bên →
   nhấp để mở. Rút: bấm nút eject bên cạnh tên USB trước khi rút vật lý.

**Nguyên tắc khi dùng USB được phép**:

- Chỉ dùng USB do cơ quan cấp/duyệt — không cắm USB cá nhân, USB nhặt được,
  USB quảng cáo.
- Không dùng USB được phép để chép dữ liệu vượt phạm vi được giao.
- Mang USB ra ngoài cơ quan chỉ khi có phê duyệt.

### 8.3. Các thiết bị khác

- **Màn hình, dock, webcam, tai nghe**: cắm dùng bình thường.
- **Đĩa cứng NTFS từ máy Windows cũ** (qua dock USB được phép): iSecOS đọc
   được — sao chép dữ liệu cần thiết vào thư mục Nhà rồi trả lại đĩa cho CNTT
   xử lý.
- **Thẻ ký số USB token (chứng thư số)**: hạ tầng đọc thẻ (pcscd/opensc) cài
   sẵn; hỏi CNTT phần mềm ký số cụ thể của cơ quan.

---

## 9. Bảo mật cá nhân

Máy iSecOS có ba lớp bảo vệ trực tiếp liên quan đến bạn. Hiểu rõ chúng giúp
bạn không bị bất ngờ và không tự khóa mình.

### 9.1. Mã hóa đĩa (LUKS2) — "chìa khóa" của cả chiếc máy

**Điều bạn thấy**: khi bật máy, **trước** màn hình đăng nhập có dòng hỏi mật
khẩu đĩa:

```
Please unlock disk sda5_crypt:
```

Đây là **passphrase đĩa** (khác mật khẩu đăng nhập). Sau khi gõ đúng, máy mở
vùng đĩa đã mã hóa rồi mới tới màn hình đăng nhập tài khoản.

**Vì sao cần**: toàn bộ dữ liệu trên máy (văn bản, email đã tải, file làm
việc) được mã hóa chuẩn AES-256. Máy bị mất cắp, đĩa bị tháo ra gắn máy khác
— kẻ trộm chỉ thấy dữ liệu mã hóa vô nghĩa. Passphrase đĩa là chìa khóa duy nhất.

**Quy tắc**:

- Passphrase đĩa do bạn đặt lúc cài máy (hoặc do CNTT đặt khi cài tập trung)
  — **ghi nhớ thật chắc**. **Quên passphrase = mất toàn bộ dữ liệu**, không
  ai (kể cả iSecurity) khôi phục được.
- Không ghi passphrase ra giấy dán màn hình / lưu trong file trên chính máy.
- Không kể passphrase cho ai — CNTT không cần biết passphrase của bạn để hỗ
  trợ.
- Máy có TPM sẽ hỏi passphrase **một lần duy nhất** để bật mở khóa tự động
  (mục 9.3) — sau đó không phải gõ mỗi sáng.

### 9.2. Xác thực hai yếu tố — mã OTP (TOTP)

Nếu đơn vị bật chính sách MFA, khi **đăng nhập vào máy**, khi dùng **sudo**
(cài đặt hệ thống) hoặc **SSH**, sau mật khẩu máy còn hỏi thêm:

```
Verification code:
```

Đây là **mã OTP 6 số** sinh từ app trên điện thoại của bạn, đổi mỗi 30 giây.

#### Kích hoạt (enroll) lần đầu — cần smartphone

Chạy lệnh sau trong **Terminal** (mở bằng Super, gõ `terminal`):

```sh
isecos-mfa enroll
```

Terminal hiện: mã QR (dạng khối ký tự nếu terminal hẹp — phóng to cửa sổ) và
mã bí mật dạng chữ. Tiếp theo:

1. Cài **app sinh mã OTP** trên điện thoại cá nhân — một trong: *Google
   Authenticator*, *Microsoft Authenticator*, *FreeOTP* (miễn phí, không cần
   tài khoản).
2. Trong app: *Thêm tài khoản* → *Quét mã QR* — quét mã trên màn hình. Không
   quét được (màn hình xa)? chọn *Nhập mã thiết lập thủ công* và gõ mã bí mật
   hiện cạnh QR.
3. App ngay lập tức hiện mã 6 số đổi mỗi 30s cho tài khoản của bạn.
4. **Quan trọng nhất**: Terminal còn in ra **10 mã khôi phục** (recovery
   codes) dùng một lần. **In ra hoặc chép vào giấy, cất nơi an toàn nhưng dễ
   tìm** (không lưu trong email). Mất điện thoại / đổi máy — dùng từng mã
   khôi phục này để đăng nhập.

Kiểm tra trạng thái bất cứ lúc nào: `isecos-mfa status`.

#### Sử dụng hằng ngày

- Mã OTP **chỉ dùng được 1 lần** — dùng rồi chờ mã mới cho lần sau.
- Thứ tự nhập: mật khẩu trước, OTP sau. Gõ nhanh trong vòng mã đang chạy.
- **Đồng hồ điện thoại phải đúng giờ** (bật tự động). Nếu OTP luôn sai dù gõ
   đúng: kiểm tra giờ hai máy (`timedatectl`), dùng mã mới nhất, hoặc dùng
   mã khôi phục.
- Mất điện thoại: dùng mã khôi phục đăng nhập → báo CNTT hủy liên kết cũ →
   enroll lại với điện thoại mới (`isecos-mfa enroll` sau khi CNTT reset).

### 9.3. TPM — mở khóa đĩa tự động

**Máy có chip TPM 2.0** (đa số máy mới): lần đăng nhập đầu, hộp thoại hiện:

> **"Kích hoạt mở khóa tự động bằng TPM"**

- Nhập **passphrase đĩa** một lần → *Kích hoạt*. Từ lần khởi động sau,
  chip TPM tự mở khóa đĩa — bạn vào thẳng màn hình đăng nhập, không gõ
  passphrase nữa. Passphrase đi qua bộ nhớ tạm thời (tmpfs), **không ghi
  xuống đĩa**.
- Bấm *Bỏ qua* nếu chưa muốn — máy không hỏi lại; kích hoạt sau bằng lệnh
  `sudo isecos-tpm-enroll`.

**Cơ chế an toàn**: TPM chỉ mở khóa khi trạng thái khởi động an toàn của máy
không bị thay đổi (tham số PCR7 — liên quan Secure Boot). Vì vậy **đôi khi
máy sẽ hỏi lại passphrase đĩa** — đây là tính năng, không phải hỏng:

| Tình huống | Hành vi |
|---|---|
| Khởi động bình thường | Tự mở khóa (đã enroll TPM) |
| Bạn/CNTT vừa **bật/tắt Secure Boot** trong BIOS | Hỏi passphrase (trạng thái tin cậy đổi) — đăng nhập xong TPM tự enroll lại hoặc chạy `sudo isecos-tpm-enroll` |
| BIOS/firmware vừa cập nhật, đổi thứ tự boot, sửa cài đặt UEFI | Hỏi passphrase lần nữa |
| Chip TPM bị xóa/bị hỏng, hoặc đĩa chuyển sang máy khác | Hỏi passphrase — đúng thiết kế chống tháo gắn máy khác |
| Muốn chủ động enroll lại | `sudo isecos-tpm-enroll` |

> Không có TPM? Không sao — chỉ cần gõ passphrase đĩa mỗi lần bật máy, mọi
> tính năng khác như nhau.

### 9.4. Những thói quen nên có

- **Khóa màn hình khi rời bàn**: Super + L (kể cả đi 1 phút).
- **Đổi mật khẩu định kỳ**: Terminal → `passwd` (theo chu kỳ quy định cơ quan).
- **Không cho người khác đăng nhập bằng phiên của bạn** — máy dùng chung thì
  mỗi cán bộ một tài khoản đăng nhập riêng.
- Mật khẩu dài, không trùng mật khẩu cá nhân/ mạng xã hội. Quản lý mật khẩu
  công vụ bằng **KeePassXC** (két sắt có mật khẩu chính — nhớ mật khẩu chính
  này).
- Báo ngay CNTT khi: mất máy, mất điện thoại có app OTP, nghi máy bị cài
  chương trình lạ, hoặc passphrase đĩa bị người khác biết.

---

## 10. Kết nối từ xa

### 10.1. Remmina — vào máy Windows / máy chủ từ xa

**Remmina** kết nối RDP (Windows Remote Desktop) và VNC:

1. Mở **Remmina** (Dock). Bấm **+** tạo kết nối mới.
2. Điền:

   | Trường | Ví dụ |
   |---|---|
   | Tên | `Máy chủ văn bản Sở` |
   | Giao thức | `RDP — Remote Desktop Protocol` |
   | Máy chủ | `10.0.5.20` (IP/tên máy Windows được phép) |
   | Tên người dùng / Mật khẩu | tài khoản trên máy đích (có thể lưu bằng Két khóa của Remmina — mã hóa) |
   | Độ phân giải | `Use initial window size` |

3. *Lưu và Kết nối*. Màn hình máy đích hiện trong cửa sổ — làm việc như ngồi
   trực tiếp. Ngắt: nút X; kết nối đã lưu nằm trong danh sách, lần sau nhấp
   đúp là vào.

**VNC** tương tự: chọn giao thức `VNC`. Máy chủ VNC thường dùng cho máy
Linux/trạm điều khiển.

> Lưu ý: chỉ kết nối máy từ xa **được phép** theo quy định; địa chỉ máy đích
> phải nằm trong mạng nội bộ/do CNTT chỉ định. (Máy iSecOS của bạn không nhận
> kết nối RDP vào — endpoint chỉ đi ra, không mở dịch vụ vào.)

### 10.2. SSH — dòng lệnh tới máy chủ

Với máy chủ Linux, dùng Terminal:

```sh
ssh ten_dang_nhap@10.0.5.30          # kết nối lần đầu: gõ yes để nhận máy chủ
scp bao-cao.pdf ten_dang_nhap@10.0.5.30:/tmp/   # chép file sang máy chủ
```

Nếu máy chủ yêu cầu OTP (chính sách MFA), sau mật khẩu sẽ hỏi `Verification
code:` — dùng app OTP như thường. Muốn không gõ mật khẩu mỗi lần: hỏi CNTT
cài khóa SSH (public key) — sinh cặp khóa bằng `ssh-keygen` rồi gửi bản công
khóa (`~/.ssh/id_ed25519.pub`) cho quản trị máy chủ.

---

## 11. Chạy phần mềm Windows

iSecOS cài sẵn **Wine** — lớp tương thích chạy được *một số* chương trình
Windows (.exe) ngay trên Linux, không cần máy Windows.

### 11.1. Mở file .exe

1. Tải/nhận file .exe vào thư mục (VD `Tải xuống`).
2. Nhấp chuột phải vào file → **Mở bằng "Wine Windows Program Loader"**.
3. Trình cài đặt Windows chạy như trên Windows → cài xong, shortcut xuất hiện
   trong danh mục app (Super + A) hoặc trên desktop Wine.

Chạy lại sau: Super + A tìm tên chương trình, hoặc nhấp đúp file .exe.

Cấu hình môi trường Wine (phiên bản Windows giả lập, thư mục ổ đĩa C:):
```sh
winecfg
```
Thư mục "ổ C:" của Wine nằm tại `~/.wine/drive_c`.

### 11.2. Giới hạn — cần biết trước

Wine **không phải Windows thật**. Kết quả thực tế:

| Loại phần mềm | Khả năng chạy |
|---|---|
| Tiện ích nhỏ, phần mềm kế toán/đọc file cũ đời đơn giản | Thường chạy tốt |
| Phần mềm dùng .NET mới, đồ họa nặng, driver thiết bị | Thường **không** chạy |
| Microsoft Office mới (2016/365), phần mềm diệt virus Windows | **Không** chạy — không nên thử |
| Phần mềm cần USB-license/dongle | Không ổn định |

Thêm: file .exe vẫn là file rủi ro — **chỉ chạy .exe từ nguồn nội bộ được
CNTT phê duyệt**, tuyệt đối không chạy .exe tải từ internet/USB lạ (cơ chế
AppArmor + kiểm toán vẫn theo dõi, nhưng đừng tự tạo rủi ro).

### 11.3. Phương án thay thế khi Wine không chạy được

| Nhu cầu | Giải pháp trên iSecOS |
|---|---|
| Soạn văn bản Office | **LibreOffice** (mục 3) — mở/ghi được .docx/.xlsx/.pptx |
| Phần mềm chỉ có bản Windows | **Remmina RDP** vào máy chủ Windows dùng chung của cơ quan (mục 10.1) — chạy app trên máy chủ, màn hình về máy bạn |
| Phiên bản web của phần mềm | Mở bằng **Chromium** nếu CNTT cho phép truy cập |
| Phần mềm chuyên ngành | Gửi yêu cầu CNTT — có thể có bản Linux, hoặc được bố trí máy chủ dùng chung |

---

## 12. Cập nhật hệ thống

### 12.1. Mô hình cập nhật — khác Windows ở đâu?

Máy iSecOS **không tải cập nhật từ internet công cộng**. Toàn bộ phần mềm và
bản vá từ kho nội bộ `isecos.isecurity.vn` của cơ quan, mỗi gói đều **được ký
số kiểm tra tự động** trước khi cài. Nhờ vậy:

- Không bao giờ bị cài phần mềm giả mạo/bị sửa giữa đường;
- CNTT kiểm soát được thời điểm và nội dung cập nhật toàn đội máy;
- Bạn không cần (và không nên) tự tìm bản cài trên mạng.

**Bản vá bảo mật quan trọng** được cài **tự động** (unattended-upgrades) —
có thể thấy thông báo "đã cập nhật bảo mật" khi khởi động lại.

### 12.2. Công cụ isecos-upgrade

Nâng cấp phiên bản hệ thống dùng lệnh duy nhất — mở Terminal:

```sh
# 1) Xem phiên bản hiện tại (không cần mật khẩu)
isecos-upgrade status

# 2) Kiểm tra có bản mới chưa (không cần mật khẩu)
isecos-upgrade check

# 3) Nâng cấp (cần mật khẩu sudo — và mã OTP nếu chính sách MFA bật)
sudo isecos-upgrade apply
```

Màn hình `check` báo kiểu:

```
Phien ban hien tai : 1.0-alpha6
Phien ban tren repo : 1.0-alpha7
=> CO BAN NANG CAP PHIEN BAN MOI: 1.0-alpha6 -> 1.0-alpha7
=> Chay: sudo isecos-upgrade apply
```

Lệnh `apply` tự làm: cập nhật danh mục gói → tải bản mới (kiểm tra chữ ký
GPG + SHA256 từng file) → nâng cấp hệ điều hành và toàn bộ phần mềm. Cuối
cùng nếu có kernel mới, công cụ nhắc **khởi động lại** — làm ngay nếu tiện:

```sh
sudo reboot
```

Lưu ý:

- Nâng cấp phiên bản lớn có thể mất 10–30 phút tùy mạng — chạy lúc máy không
  cần gấp (đầu giờ chiều, giờ nghỉ trưa).
- Log đầy đủ tại `/var/log/isecos-upgrade.log` (CNTT xem khi hỗ trợ).
- Nhiều đơn vị để **CNTT cập nhật tập trung từ Control Center** — khi đó bạn
  chỉ việc khởi động lại khi được nhắc.

### 12.3. Cài phần mềm mới — đúng quy trình

Không tự `apt install` hay tải .deb/.exe từ mạng. Gửi yêu cầu qua GoChat/email
CNTT nêu rõ: tên phần mềm, mục đích sử dụng, đơn vị. CNTT kiểm duyệt, thêm
vào kho nội bộ (nếu phép) và hướng dẫn cài — mọi thứ đi qua kho ký số của cơ
quan.

---

## 13. Câu hỏi thường gặp (FAQ)

**1. Tôi quen Windows quá — có chế độ giao diện giống Windows không?**
GNOME của iSecOS bố trí khác (Dock bên trái, tổng quan Hoạt động) nhưng thao
tác tương đương — xem bảng đối chiếu ở mục 2. Sau 1–2 ngày là quen. Mẹo nhanh
nhất: ghi nhớ **Super** (tìm mọi thứ), **Alt + Tab** (đổi cửa sổ), **Super +
L** (khóa màn hình).

**2. File Word/Excel của cơ quan mở được không, gửi đi máy Windows đọc được không?**
Được — LibreOffice mở .docx/.xlsx/.pptx trực tiếp; lưu lại cũng chọn đúng
kiểu đó (mục 3.4). Chỉ cần lưu ý phông chữ (bảng tương thích phông ở 3.4) và
macro VBA phức tạp (xem câu 3).

**3. File Excel có macro/nút bấm VBA không chạy thì sao?**
Calc mở được nội dung nhưng macro VBA phức tạp có thể không chạy. Phương án:
nhờ CNTT truy cập máy chủ Windows dùng chung qua Remmina (mục 10.1), hoặc đề
nghị chuyển sang công thức/tool nội bộ.

**4. Quên mật khẩu đăng nhập thì làm thế nào?**
Không tự xử lý — liên hệ CNTT. Với passphrase đĩa: quên là **mất dữ liệu**
(mục 9.1), chỉ có cơ hội nếu trước đó bạn/CNTT đã tạo khóa dự phòng.

**5. USB của tôi cắm vào không thấy gì — máy hỏng à?**
Không hỏng — đó là chính sách DLP chặn USB lưu trữ mặc định (mục 8). Xin phép
CNTT nếu công việc cần.

**6. Điện thoại có app OTP bị mất/thay máy — đăng nhập thế nào?**
Dùng một trong 10 **mã khôi phục** đã in lúc enroll (mục 9.2), sau đó báo
CNTT enroll lại với máy mới. Không còn mã khôi phục nào — CNTT phải xác minh
danh tính trực tiếp trước khi reset.

**7. Có dùng Zalo/Skype/Zoom họp trực tuyến được không?**
Kênh chính thức là **GoChat**. Họp trực tuyến qua phiên bản web trong
Chromium nếu được CNTT cho phép (thiết bị webcam hoạt động bình thường);
không tự cài app ngoài kho nội bộ.

**8. Tôi muốn cài font chữ/phần mềm nhỏ tự lấy trên mạng — được không?**
Không. Mọi phần mềm (kể cả phông chữ) qua kho nội bộ ký số — gửi yêu cầu
CNTT. Đây là điều kiện để máy được bảo hành an ninh và hỗ trợ chính thức.

**9. Máy hỏi "Please unlock disk..." mỗi sáng dù đã bấm kích hoạt TPM — lỗi gì?**
Kiểm tra xem có ai vừa vào BIOS đổi cài đặt/bật tắt Secure Boot không — TPM
từ chối mở khóa khi trạng thái tin cậy đổi (mục 9.3). Gõ passphrase bình
thường rồi chạy `sudo isecos-tpm-enroll`. Tự hỏi lại liên tục không rõ lý do →
báo CNTT.

**10. Dữ liệu của tôi được sao lưu thế nào? Tôi tự sao lưu được không?**
Vùng đĩa máy bạn đã mã hóa và cơ quan có chiến lược sao lưu riêng (email
IMAP nằm trên máy chủ; hỏi CNTT về sao lưu thư mục Nhà). Tự chép dữ liệu ra
bên ngoài chỉ với thiết bị được phép (mục 8) và đúng phạm vi được giao. Với
file quan trọng: gửi bản lưu vào kho tài liệu nội bộ qua Chromium/GoChat khi
được phép.

---

## 14. Khắc phục sự cố

Bảng 8 sự cố gặp nhiều nhất. Không xử lý được → chụp màn hình lỗi (PrtSc) và
liên hệ CNTT qua GoChat.

| # | Triệu chứng | Nguyên nhân & cách xử lý |
|---|---|---|
| 1 | **Bật máy hỏi passphrase đĩa bất thường** (dù đã có TPM auto-unlock) | Trạng thái Secure Boot/BIOS vừa thay đổi → TPM từ chối (đúng thiết kế). Gõ passphrase, vào máy rồi `sudo isecos-tpm-enroll`. Quên passphrase → mục 9.1, liên hệ CNTT nếu có khóa dự phòng. |
| 2 | **Đăng nhập máy/sudo hỏi mã OTP nhưng luôn báo sai** | Đồng hồ lệch: kiểm tra `timedatectl` (phải hiện NTP sync, giờ đúng); dùng mã OTP **mới nhất** trên app; mã đã dùng không dùng lại được. Vẫn sai → dùng mã khôi phục, báo CNTT. |
| 3 | **Màn hình đen sau khi đăng nhập / desktop đơ** | Chờ 1–2 phút (lần đăng nhập đầu chậm). Không khởi động lại được: Ctrl + Alt + F3 sang console văn bản, đăng nhập, gõ `sudo systemctl restart gdm3` rồi Ctrl + Alt + F1 quay lại. Không ổn → báo CNTT kèm ảnh. |
| 4 | **Máy in không in / không thấy trong danh sách** | Kiểm tra mạng máy in (ping IP), máy in bật và có giấy/mực. Xóa máy in trong *Cài đặt → Máy in* rồi thêm lại (mục 7.1). Việc in bị kẹt: mở `http://localhost:631` → tab *Jobs* → hủy việc in lỗi rồi in lại. |
| 5 | **Cắm USB không thấy / không mở được** | Chính sách DLP chặn mặc định (mục 8) — không phải lỗi. Nếu USB đã được CNTT phép mà vẫn không thấy: rút cắm lại, mở app Tệp nhìn thanh bên; báo CNTT kiểm tra danh sách trắng. |
| 6 | **Chromium báo "do tổ chức của bạn quản lý" / không cài được tiện ích / không vào được trang** | Đây là chính sách doanh nghiệp của cơ quan, không phải lỗi. Cần mở: gửi yêu cầu CNTT kèm địa chỉ trang/tên tiện ích. Xem chính sách đang áp: `chromium://policy`. |
| 7 | **File .exe chạy bằng Wine mở không lên / lỗi lạ** | Wine không hỗ trợ phần mềm đó (mục 11.2). Đừng thử cài lại nhiều lần hay tải "bản vá" từ mạng — chuyển phương án: LibreOffice / RDP / phiên bản web (mục 11.3). |
| 8 | **Cập nhật lỗi (`isecos-upgrade check`/`apply` báo lỗi mạng)** | Kho nội bộ đang đồng bộ hoặc mạng cơ quan chập chờn — **thử lại sau vài giờ** (dữ liệu công việc không bị ảnh hưởng). Lỗi kéo dài: chụp thông báo báo CNTT. Lưu ý: KHÔNG đổi file nguồn apt sang internet công cộng. |

---

*Tài liệu: iSecOS 1.0-alpha7 (MotaX) — Cẩm nang người dùng. Góp ý tài liệu:
isecos@isecurity.vn. Hỗ trợ kỹ thuật: liên hệ đơn vị CNTT của cơ quan bạn
qua GoChat.*