Alles Wissenswerte, nichts Unwissendes.
Der Umfang der Prüfung
SAS-SM wird von GSMA-akkreditierten Auditoren (in der Regel SRC GmbH oder BSI) durchgeführt und umfasst die physische Sicherheit des Rechenzentrums (Videoüberwachung, Schleusen, Zugangskontrolle mit zwei Kontrollpunkten), die Verwahrung der HSM-Schlüssel (mindestens FIPS 140-2 Level 3), die betrieblichen Verfahren für Schlüsselzeremonien, die Richtlinie zur Überprüfung des Personals und den Änderungsmanagementprozess für die SM-DP+ / SM-SR / eIM-Software.
Wie es sich von SAS-UP unterscheidet
SAS-UP (SIM-Karten-UICC-Produktion) prüft die Fabrik, die physische SIM-Karten herstellt und die Profile während der Produktion darauf schreibt. SAS-SM prüft die Infrastruktur, die die Profile drahtlos an bestehende eUICCs überträgt. Ein Anbieter eines eSIM-Dienstes benötigt SAS-SM; ein Hersteller physischer SIM-Karten benötigt SAS-UP; ein Anbieter, der beides anbietet, benötigt beide Zertifizierungen.
Was verliert die Zertifizierung?
Drei Dinge. Eine Abweichung vom Verfahren der Schlüsselübergabe (z. B. wenn eine Person beide Hälften eines Schlüssels besitzt – sofortiges Scheitern). Ausfall der physischen Zugangskontrolle während der unangekündigten Nachprüfung. Versäumnis, einen Sicherheitsvorfall innerhalb von 24 Stunden an die GSMA zu melden. Betreiber werden über jede SAS-SM-Sperre benachrichtigt und pausieren umgehend die Profil-Downloads des betroffenen Anbieters.
Was die Instandhaltung kostet
Das Audit selbst kostet üblicherweise 80.000 bis 120.000 EUR alle zwei Jahre. Der operative Aufwand – Vier-Augen-Prinzipien, HSM-Wartung, Personalüberprüfung – ist der größere Kostenfaktor. Die eigene SAS-SM-Akkreditierung von BroadNet für seine eSIM-Infrastruktur ist in Bearbeitung (noch nicht erteilt).