Всё, что стоит знать, и ничего лишнего.
Объем аудита
Проверка SAS-SM проводится аккредитованными GSMA аудиторами (обычно SRC GmbH или BSI) и охватывает физическую безопасность центра обработки данных (видеонаблюдение, ловушки для проникновения, двойной контроль доступа), хранение ключей HSM (минимум FIPS 140-2 уровня 3), операционные процедуры проведения церемоний открытия ключей, политику проверки персонала и процесс управления изменениями для программного обеспечения SM-DP+ / SM-SR / eIM.
Чем он отличается от SAS-UP?
SAS-UP (SIM card UICC Production) — это аудит завода, производящего физические SIM-карты и записывающего в них профили на этапе изготовления. SAS-SM — это аудит инфраструктуры, передающей профили по беспроводной сети на существующие eUICC. Поставщику, предоставляющему услуги eSIM, необходим сертификат SAS-SM; поставщику, производящему физические SIM-карты, необходим сертификат SAS-UP; поставщику, занимающемуся и тем, и другим, необходимы оба сертификата.
Что теряет сертификацию?
Три фактора. Отклонение от процедуры проведения церемонии передачи ключей (например, когда один человек держит обе половины ключа — мгновенный сбой). Сбой в работе системы контроля физического доступа во время внеплановой повторной проверки. Несообщение GSMA об инциденте безопасности в течение 24 часов. Операторы уведомляются о любой приостановке SAS-SM и немедленно приостанавливают загрузку профилей от соответствующего поставщика.
Сколько стоит обслуживание?
Сам аудит обычно обходится в 80–120 тысяч евро каждые два года. Более значительные затраты связаны с операционными расходами — проведением церемоний с двойным контролем ключей, обслуживанием HSM, проверкой персонала. Собственная аккредитация BroadNet по SAS-SM для инфраструктуры eSIM находится в процессе (пока не получена).