Tudo o que vale a pena saber, nada do que não vale.
O âmbito da auditoria
A auditoria SAS-SM é conduzida por auditores credenciados pela GSMA (normalmente a SRC GmbH ou a BSI) e abrange a segurança física do centro de dados (CFTV, portas de segurança, controlo de acesso duplo), a custódia das chaves do HSM (FIPS 140-2 Nível 3 no mínimo), os procedimentos operacionais para cerimónias de chaves, a política de verificação de pessoal e o processo de gestão de mudanças para o software SM-DP+ / SM-SR / eIM.
Em que difere do SAS-UP?
A certificação SAS-UP (SIM card UICC Production) audita a fábrica que produz SIMs físicos e grava perfis neles durante a fabricação. A certificação SAS-SM audita a infraestrutura que envia perfis via rede sem fios para eUICCs existentes. Um fornecedor que opera um serviço de eSIM precisa da certificação SAS-SM; um fornecedor que fabrica cartões SIM físicos precisa da certificação SAS-UP; um fornecedor que realiza ambos os serviços precisa de ambas as certificações.
O que perde a certificação?
Três coisas. Um desvio no procedimento de cerimónia de chave (por exemplo, uma única pessoa detendo ambas as metades de uma chave partilhada — reprovação imediata). Falha no controlo de acesso físico durante a reauditoria não anunciada. Falha em divulgar um incidente de segurança à GSMA dentro de 24 horas. Os operadores são notificados de qualquer suspensão do SAS-SM e interrompem imediatamente os downloads de perfil do fornecedor afetado.
Qual o custo de manutenção?
A auditoria em si custa normalmente entre 80 e 120 mil euros a cada dois anos. Os custos operacionais — cerimónias de chaveamento duplo, manutenção do HSM, verificação de pessoal — representam a maior parte do custo. O credenciamento SAS-SM da própria BroadNet para a sua infraestrutura eSIM está em andamento (ainda não concedido).