Tout ce qui mérite d'être su, rien qui ne le mérite pas.
L'étendue de l'audit
L'audit SAS-SM est réalisé par des auditeurs accrédités GSMA (généralement SRC GmbH ou BSI) et couvre la sécurité physique du centre de données (vidéosurveillance, sas de sécurité, accès à double contrôle), la gestion des clés HSM (niveau 3 minimum FIPS 140-2), les procédures opérationnelles pour les cérémonies de remise des clés, la politique de vérification du personnel et le processus de gestion des changements pour le logiciel SM-DP+ / SM-SR / eIM.
En quoi diffère-t-il de SAS-UP ?
L'audit SAS-UP (SIM card UICC Production) vérifie l'usine qui produit les cartes SIM physiques et y inscrit les profils lors de leur fabrication. L'audit SAS-SM vérifie l'infrastructure qui diffuse les profils par voie hertzienne aux cartes eUICC existantes. Un fournisseur de services eSIM doit être certifié SAS-SM ; un fabricant de cartes SIM physiques doit être certifié SAS-UP ; un fournisseur proposant les deux services doit posséder les deux certifications.
Qu'est-ce qui perd la certification ?
Trois éléments : un écart par rapport à la procédure de remise des clés (par exemple, une seule personne détenant les deux moitiés d’une clé partagée – échec immédiat) ; une défaillance du contrôle d’accès physique lors du réaudit inopiné ; et le défaut de déclaration d’un incident de sécurité à la GSMA dans les 24 heures. Les opérateurs sont informés de toute suspension SAS-SM et suspendent immédiatement le téléchargement des profils auprès du fournisseur concerné.
Ce que coûte l'entretien
L'audit lui-même coûte généralement entre 80 000 et 120 000 € tous les deux ans. Les frais opérationnels – cérémonies de double contrôle des clés, maintenance des modules de sécurité matériels (HSM), vérification du personnel – représentent la part la plus importante du coût. L'accréditation SAS-SM propre à BroadNet pour son infrastructure eSIM est en cours (pas encore obtenue).