En este segundo artículo continuaremos el análisis de los principios de seguridad incluidos en el CSCF de 2025 (los cuatro primeros principios fueron analizados en el anterior artículo), así como detallaremos los cambios que ha habido respecto a la versión de 2024.
Este principio del CSCF está enfocado en el control de acceso lógico al entorno, protegiendo las cuentas utilizadas para los accesos y asignándolas unos privilegios adecuados en base a los roles y responsabilidades del personal, los cuales quedarán determinados por la función del trabajo a desarrollar por los empleados y a la necesidad de saber, utilizando siempre el principio de menos privilegio. Los controles de seguridad recogidos por este principio son cuatro, siendo uno opcional:
➡️ 5.1 Control de acceso lógico.
➡️ 5.2 Gestión de tokens.
➡️ 5.3A Proceso de screening del personal.
➡️ 5.4 Protección del repositorio de contraseñas.
Los controles de seguridad englobados en este principio son los siguientes:
➡️ Gestión de identidades para garantizar el cumplimiento de los principios del mínimo privilegio, necesidad de saber y separación de tareas.
➡️ Revisión y revocación de cuentas en base a las necesidades de acceso establecidas y configuradas.
➡️ Control de cuentas privilegiadas y limitación de uso.
➡️ Protección de los tokens y de los repositorios de contraseñas, garantizando su confidencialidad y la integridad.
➡️ Controles de seguridad destinados a la protección de contraseñas con el objetivo de evitar que se vean comprometidas o filtradas.
➡️ Evaluación de candidatos previo a la contratación para reducir riesgos y monitorización de empleados de forma periódica.
El sexto principio del CSCF se centra en la detección de amenazas en el entorno de SWIFT a partir de controles de seguridad específicos como soluciones antimalware, mecanismos de protección de la integridad en el software y bases de datos, monitorización de eventos de seguridad y mecanismos de detección de intrusión. El objetivo principal de este requisito es monitorizar cualquier actividad en los sistemas con el objetivo de identificar cualquier evento que pueda suponer incidente de seguridad. Los archivos de transacciones también se analizarán con el objetivo de garantizar la seguridad de las transacciones financieras. Los controles de seguridad especificados en este principio son:
➡️ 6.1 Protección malware.
➡️ 6.2 Integridad software.
➡️ 6.3 Integridad de base de datos.
➡️ 6.4 Logging y monitorización.
➡️ 6.5A Detección de intrusión.
Las principales medidas de seguridad recogidas dentro de estos controles de seguridad son las siguientes:
➡️ Instalación, mantenimiento y actualización de soluciones antimalware en los equipos con el objetivo de identificar los distintos tipos de malware, protegiendo los activos forma rápida y eficiente.
➡️ Gestión de las alertas generadas por las soluciones antimalware para garantizar una respuesta adecuada y rápida ante cualquier evento.
➡️ Instalación y mantenimiento de mecanismos de protección de la integridad, a distintos niveles, en el software y en las bases de datos. Gestión de las alertas de seguridad producidas.
➡️ Configuración segura de logs de auditoría.
➡️ Monitorización de eventos de seguridad con el fin de detectar de forma rápida y efectiva amenazas de seguridad dentro del entorno SWIFT.
➡️ Almacenamiento seguro de logs de actividad.
➡️ Instalación y mantenimiento de soluciones de detección de accesos no autorizados a la red y cualquier actividad anómala.
Una vez analizado por completo SWIFT, podemos concluir que el framework de SWIFT, el CSCF, es una herramienta esencial que garantiza la seguridad en las transacciones financieras a nivel global entre las distintas entidades que forman parte de la red SWIFT, siendo su última versión publicada la de julio de 2025.
El CSCF, a través de sus 7 principios fundamentales, que engloban los 32 controles de seguridad definidos, SWIFT ofrece un enfoque estructurado con el fin de proteger las comunicaciones financieras, limitando los riesgos en los entornos mediante la implementación de medidas de seguridad orientadas a proteger a los sistemas ante ciberataques o vulnerabilidades. La integración de estos controles permite a las instituciones financieras crear un entorno más seguro y confiable para sus operaciones diarias, así como prepararse ante cualquier desafío futuro en materia de ciberseguridad, pudiendo minimizar o reducir consecuencias comerciales indeseables y potencialmente fraudulentas.
Los controles de seguridad tienen como objetivos el proteger el entorno SWIFT de las entidades financieras, conocer y limitar los accesos mediante controles de acceso, y detectar y responder ante incidentes de seguridad.
Las organizaciones deben abordar la implementación de controles de seguridad como un proceso de mejora continua dentro de un programa integral de gobernanza y gestión de riesgos cibernéticos, en lugar de considerarlo como una tarea aislada o puntual. De este modo, pueden aprovechar y optimizar las políticas, procedimientos y controles ya existentes que han sido establecidos para manejar otros aspectos del riesgo cibernético, siempre basándose en el juicio adecuado y las mejores prácticas. Además, deben tener en cuenta las infraestructuras tecnológicas desplegadas y las configuraciones específicas implementadas por los usuarios, asegurando una integración eficaz y sostenible a largo plazo.
La evolución continua en las amenazas y vulnerabilidades, así como en las técnicas de ataque, y, por tanto, en las medidas de seguridad que defienden ante ellas obliga a una actualización continua en los programas de seguridad de las organizaciones, obligando a adoptar nuevas medidas de protección o a evolucionar las presentes. Siguiendo este enfoque, SWIFT revisa y evoluciona de forma periódica el CSCF para así abordar estos nuevos controles de seguridad de forma eficiente, elevando el nivel de seguridad en los entornos.
Es por ello que la versión de 2025 del CSCF presenta una evolución con respecto a la de 2024 con las miras puestas en el framework de 2026, facilitando la implantación de controles recomendables gradualmente hasta su futura obligatoriedad, aunque no existe ningún control de seguridad, o componente dentro del alcance, que cambie su carácter a obligatorio, continuando siendo buenas prácticas durante 2025. De este modo, el control recomendable 2.4A Seguridad del flujo de datos de back-office presenta información adicional para facilitar su implementación gradual y así proteger los flujos entre back-office y la zona segura, los cuales en un futuro serán considerados como obligatorios. De esta forma, se ayuda a las entidades en la planificación.
Adicionalmente, la versión de 2025 añade un nuevo componente, recomendable, llamado “customer client connector” con el objetivo de garantizar su protección a través de diversas medidas de seguridad, y así pasar a formar parte del “customer connector” en un futuro próximo.
Referencias:
SWIFT Customer Security Controls Framework (CSCF) v2025 – Customer Security Programme:
https://www2.swift.com/knowledgecentre/rest/v1/publications/cscf_dd/62.0/CSCF_v2025_20240701.pdf?logDownload=true
Glosario SWIFT:
https://www2.swift.com/knowledgecentre/rest/v1/publications/udic/12.0/udic.pdf?logDownload=true
La evolución de la seguridad SWIFT: Claves para 2025 (Parte 1):
https://blog.isecauditors.com/la-evolucion-de-la-seguridad-swift-claves-para-2025-parte-1