Todo lo que vale la pena saber, nada que no lo sea.
El alcance de la auditoría
La auditoría SAS-SM la realizan auditores acreditados por la GSMA (normalmente SRC GmbH o BSI) y abarca la seguridad física del centro de datos (CCTV, esclusas de seguridad, acceso con doble control), la custodia de las claves HSM (nivel 3 de FIPS 140-2 como mínimo), los procedimientos operativos para las ceremonias de entrega de claves, la política de verificación de antecedentes del personal y el proceso de gestión de cambios para el software SM-DP+ / SM-SR / eIM.
En qué se diferencia de SAS-UP
SAS-UP (Producción de UICC para tarjetas SIM) audita la fábrica que produce tarjetas SIM físicas y les graba perfiles durante la fabricación. SAS-SM audita la infraestructura que transmite perfiles de forma inalámbrica a las UICC electrónicas existentes. Un proveedor que ofrece un servicio de eSIM necesita SAS-SM; un proveedor que fabrica tarjetas SIM físicas necesita SAS-UP; un proveedor que realiza ambos servicios necesita ambas certificaciones.
¿Qué pierde la certificación?
Tres cosas. Una desviación en el procedimiento de la ceremonia de entrega de claves (por ejemplo, que una sola persona tenga ambas mitades de una clave compartida: fallo inmediato). Fallo en el control de acceso físico durante la reauditoría no anunciada. No informar a GSMA de un incidente de seguridad en un plazo de 24 horas. Los operadores son notificados de cualquier suspensión de SAS-SM e inmediatamente pausan las descargas de perfiles del proveedor afectado.
Lo que cuesta mantener
La auditoría en sí suele costar entre 80.000 y 120.000 euros cada dos años. Los gastos operativos —ceremonias de claves de doble control, mantenimiento de HSM, verificación de antecedentes del personal— representan el mayor coste. La acreditación SAS-SM propia de BroadNet para su infraestructura eSIM está en curso (aún no se ha obtenido).