Con cadenza annuale, nel mese di luglio, Swift (Society for Worldwide Interbank Financial Telecommunication) rilascia una versione aggiornata del Customer Security Controls Framework (CSCF) al fine di rendere sempre più protetta l’infrastruttura Swift degli enti finanziari dagli attacchi informatici, sempre più numerosi e sofisticati.
Analizziamo, quindi, le principali novità della nuova versione del CSCF v2024.
Indice degli argomenti
Cosa è Swift
Swift è una società per le telecomunicazioni finanziarie interbancarie mondiali con sede in Belgio fondata negli anni 70 e a oggi risulta essere il principale sistema di transazioni che permette agli istituti finanziari aderenti di effettuare pagamenti, transfrontalieri e non, in maniera veloce e sicura.
Attualmente, aderiscono a Swift oltre 11mila organizzazioni – sia bancarie sia finanziarie – di oltre 200 Paesi in tutto il mondo.
Il Customer Security Controls Framework
Negli ultimi anni, si è intensificato il numero di attacchi informatici relativi ai pagamenti transfrontalieri e, nello specifico, anche verso gli utenti Swift.
Per fronteggiare quindi il cybercrime e supportare i propri utenti nella lotta contro le frodi informatiche, Swift ha lanciato nel 2016 il proprio Customer Security Programme (CSP).
Il CSP mette a disposizione un framework di controlli di sicurezza, distinguibili in obbligatori e consigliati, conosciuto come Customer Security Controls Framework (CSCF).
Tali controlli si basano su framework standard e best practice del settore più utilizzati e riconosciuti a livello globale, quali il Payment Card Industry Data Security Standard (PCI DSS), gli Information Security Management Systems (ISO/IEC 27000) e il National Institute of Standards and Technology (NIST).
Il CSCF è stato redatto al fine di aiutare gli istituti aderenti a rendere più protetti i propri ambienti e a favorire un ecosistema finanziario più sicuro.
Il CSCF si articola intorno a tre principali obiettivi:
- rendere sicuro l’ambiente;
- conoscere e controllare gli accessi;
- individuare e rispondere alle minacce.
Gli obiettivi sono supportati da sette principi cardine di sicurezza che rappresentano le aree di interesse prioritarie all’interno di ciascun obiettivo:
- Limitare gli accessi a Internet e proteggere le infrastrutture critiche dall’infrastruttura generale IT.
- Ridurre al minimo la superficie di attacco e le vulnerabilità.
- Proteggere fisicamente l’ambiente.
- Prevenire la compromissione delle credenziali.
- Gestire l’Identity Access Management.
- Rilevare attività anomale mediante i record di transazione o di sistema.
- Pianificare la condivisione delle informazioni e una risposta efficace agli incidenti.
Annualmente, Swift rilascia una nuova versione del Customer Security Controls Framework che include spesso aggiornamento significativi e modifiche minori.
I controlli di sicurezza del Customer Security Controls Framework
Nella nuova versione del CSCF v2024, rilasciata il 7 luglio scorso, i controlli di sicurezza richiesti sono 32, di cui 24 obbligatori (Mandatory) e 8 consultivi (Advisory).
I controlli di sicurezza obbligatori stabiliscono una base di sicurezza per l’intera comunità e devono essere implementati da tutti gli utenti sulla loro infrastruttura Swift locale. I controlli consultivi sono buone pratiche di sicurezza aggiuntive che Swift raccomanda agli utenti di implementare.
L’implementazione dei controlli opzionali è fortemente consigliata per rafforzare ulteriormente la robustezza dell’infrastruttura locale degli utenti.
Nel CSCF sono illustrate e descritte cinque architetture differenti che vanno a coprire tutte le tipologie di installazioni presenti presso la clientela e Swift richiede che gli enti finanziari identifichino quale delle cinque architetture di riferimento sia più vicina a quanto messo in campo nel proprio ambiente operativo per la trasmissione e ricezione dei messaggi; a seconda del tipo di architettura, l’utente dovrà rispettare o no alcuni controlli di sicurezza.
Swift Customer Security Controls Framework v2024: le novità
Tra le novità rilevanti della v2024 del CSCF spicca solo il passaggio da controllo Advisory a Mandatory per il controllo 2.8 “Outsourced Critical Activity Protection” nell’ambito del principio “Ridurre al minimo la superficie di attacco e le vulnerabilità”.
Nello specifico, l’obiettivo principale di questo controllo di sicurezza è quello di assicurare una maggiore protezione dell’infrastruttura Swift dai rischi derivanti dall’affidamento di attività critiche a fornitori terzi, ad esempio, a un fornitore esterno di servizi informatici, a un fornitore di cloud o a un agente di outsourcing, o a fornitori di servizi come ad esempio un service bureau, ora Business Connect o un fornitore di applicazioni Lite2 for Business.
L’infrastruttura Swift comprende diversi componenti, on-premise o remoti, spesso ospitati o gestiti da una terza parte, e tra tali componenti sono inclusi applicazioni, dispositivi di rete, token e altri supporti rimovibili e hardware di supporto.
Quando le attività critiche vengono esternalizzate a terzi o a fornitori di servizi, è essenziale che venga mantenuto almeno lo standard di sicurezza originario, oltre all’adesione al Customer Security Controls Framework, per garantire che non vengano introdotte nuove debolezze o vulnerabilità.
Pertanto, gli enti finanziari che interagiscono con fornitori di terze parti o fornitori di servizi per quanto su citato, devono, dopo aver identificato il loro tipo di architettura Swift, assicurarsi che le attività esternalizzate siano protette, come minimo, con lo stesso standard di cura come se fossero gestite all’interno dell’organizzazione e in linea con i controlli di sicurezza del CSCF.
Tali terze parti e fornitori di servizi sono autorizzati a fare affidamento sul loro programma di conformità che di solito si basa su certificazioni come ISO27001, NIST ecc. per essere conformi a quanto richiesto dal CSCF.
Il supporto di SWIFT sul nuovo controllo obbligatorio
Per aiutare gli assessor nel valutare la compliance degli enti finanziari al suddetto controllo del CSCF, Swift ha pubblicato nel mese di luglio una prima versione di un documento relativo al mapping dei controlli del CSCF v2024 con i controlli corrispondenti dei vari standard ISO27001, PCI DSS 4.0, SOC2 TSC 2017, NIST CSF v1.1.
Inoltre, Swift definisce delle attività che ritiene siano critiche e che per le quali risulta obbligatorio, da parte dell’ente finanziario, applicare il controllo 2.8 del CSCF.
Nonostante questo, il controllo “Outsourced Critical Activity Protection” rimane fortemente raccomandato anche quando le attività esternalizzate non sono ritenute critiche.
Di seguito, è presente un elenco di alcune attività che possono essere affidate a fornitori terzi e che sono considerate critiche da Swift e quindi oggetto di Assessment per il controllo 2.8:
- gestione della sicurezza e delle modifiche dell’hardware, compreso l’Hardware Security Module (HSM), e del software (comprese le applicazioni, il sistema operativo e la piattaforma o infrastruttura virtualizzata sottostante) che supportano l’infrastruttura Swift dell’ente finanziario;
- accesso a dati sensibili dell’utente (ad esempio, il contenuto dei messaggi) elaborati dall’infrastruttura Swift dell’ente finanziario;
- monitoraggio degli eventi generati dall’infrastruttura Swift che contengono dati sensibili dell’ente finanziario;
- gestione della rete e configurazione dell’infrastruttura Swift dell’ente finanziario.
Conformità al CSCF v2024
Agli enti finanziari è richiesto di dichiarare la propria compliance al CSCF v2024, attraverso l’utilizzo dell’applicazione KYC Security Attestation Application (KYC-SA), entro il mese di dicembre 2024.
La mancata esecuzione di un Independent Assessment nei tempi previsti e la pubblicazione di un’attestazione non pienamente conforme viene segnalata alle autorità di vigilanza e alle altre autorità di controllo e rese visibili alle controparti nell’applicazione KYC-SA.
Tuttavia, Swift dà la possibilità, tra gennaio e luglio dell’anno successivo, quindi nel corso del 2025, di risolvere le lacune di conformità (compliance gaps) e di ripresentare l’attestazione.
