El CSP establece una serie de controles de seguridad conocidos como CSCF (Customer Security Controls Framework) que tiene como objetivo la protección de los entornos financieros. Los controles de seguridad definidos por el CSCF se basan en otros estándares internacionales de la industria como son NIST, ISO 27000 y PCI DSS. Estos controles han ido evolucionando durante los años, año a año, desde 2016 hasta llegar a la última versión publicada, la de 2026, sobre la cual haremos un análisis de los cambios principales respecto a la versión anterior, la de 2025, que ya fueron tratados en un artículo anterior dentro del blog (https://blog.isecauditors.com/la-evolucion-de-la-seguridad-swift-claves-para-2025-parte-1).
CSCF 2026
Publicada el 1 de julio de 2025, la edición de CSCF de 2026 se compone de 3 objetivos (protección del entorno, saber y limitar el acceso; y detección y respuesta), 7 principios de seguridad y 32 controles de seguridad:
De los 32 controles de seguridad definidos en esta versión, 26 de ellos son de obligatorio cumplimiento, mientras que los otros 6 serán recomendables para mejorar el nivel de seguridad en el alcance. Estos controles de seguridad ayudan a mitigar riesgos específicos de ciberseguridad a los cuales lo usuarios de SWIFT deben enfrentarse. Dentro de cada control de seguridad, SWIFT documenta los riesgos más comunes que el control mitiga. De esta forma se previenen o se minimizan consecuencias de negocio que no son deseadas y potencialmente fraudulentas, tales como:
▪️Envío o modificación de transacciones de negocio no autorizadas.
▪️Procesamiento de transacciones entrantes de SWIFT alteradas o no autorizadas.
▪️Negocios con entidades no autorizadas.
▪️Brechas de confidencialidad (de datos de negocio, sistemas, detalles de operador, etc.).
▪️Brechas de integridad (de datos de negocio, sistemas, detalles de operador, etc.).
La implementación de los controles de seguridad debe incorporarse por parte de las organizaciones a nivel de gobernanza de ciberseguridad y dentro del programa de riesgos definido.
Cambios para la versión de 2026
La versión 2026 del SWIFT CSCF presenta pocos cambios respecto a la edición anterior, la de 2025, manteniéndose la mayoría de los controles de seguridad y guías que ya se habían incluido en el pasado tal y como estaban. Todas las novedades en la presente versión serán analizadas a continuación:
Obligatoriedad del control 2.4 Seguridad del Flujo de Datos de Back Office
Tal y como se anunció el año pasado, el control 2.4 Seguridad del Flujo de Datos de Back Office pasa de tener un carácter recomendable a ser de obligatorio cumplimiento. Para arquitecturas SWIFT de tipo B, este control pasa a ser no aplicable.
El objetivo de este control es el de asegurar la confidencialidad, integridad y autenticidad de los datos intercambiados entre los primeros saltos de back-office y los componentes de la infraestructura SWIFT en entornos onpremise o remotos, protegiendo ante cualquier ataque Man-in-the-Middle, filtración o alteración de la información y acceso a los datos en tránsito.
Para ello, los flujos que tienen que ser tenidos en cuenta son:
▪️Flujos, directos o indirectos, entre componentes dentro de la infraestructura SWIFT y los primeros saltos de back office, utilizando uno o más servidores puente o “bridging servers”, tales como servidores de middleware, servidores de transferencia de ficheros o similares.
▪️Flujos hacia New HSMs.
▪️Flujos directos Legacy (recomendable su protección).
Para ello, el CSCF señala, como guía, la implementación de los siguientes controles de seguridad:
- Inventariar los datos intercambiados en flujos directos o indirectos. De esta forma la entidad se asegura de conocer el tipo de dato que se envía (mensajes financieros, referencias, archivos de reconciliación, etc.) y a través de qué canales. Por ejemplo, se pueden realizar inventarios o tablas documentados, diagramas de arquitectura y de flujos, etc.
- Evaluar la seguridad en términos de confidencialidad, integridad y autenticidad de cada flujo, revisando los flujos que hay dentro del alcance y llevando a cabo pruebas técnicas dentro de la red, como escaneos de vulnerabilidades, revisión de certificados, etc.
- Utilizar protocolos seguros, vigentes y aceptados por la industria, como AES o ECDHE, utilizando longitudes de clave adecuadas en base a las mejores prácticas de la industria (para claves simétricas una seguridad mínima aceptable de 112 bits, 2048 bits para claves RSA asimétricas o 256 bits para claves de curvas elípticas (ECC)). Puede verse más información sobre algoritmos criptográficos que soportan protocolos seguros en la guía y buenas prácticas sobre criptografía publicada por SWIFT en el artículo 5021566: https://www2.swift.com/knowledgecentre/kb_articles/5021566
- Protección de credenciales y claves privadas o criptográficas. Deben almacenarse de forma segura para mantener su confidencialidad e integridad. Para ello, pueden utilizarse soluciones KMS (Key Management System) para proteger las claves criptográficas durante todo su ciclo de vida.
- Protección de los datos intercambiados entre el primer salto de back office y los componentes de la infraestructura SWIFT.
la combinación de ambos).
▪️Un mecanismo seguro que proteja la integridad, confidencialidad y
autenticación a nivel de datos, usando, por ejemplo, autenticación
local (LAU) basada en AES-GCM, XML DSIG, o similar.
▪️Un protocolo seguro que proteja la integridad, confidencialidad y
autenticación a nivel de conexión, usando, por ejemplo, LAU en
combinación con protección de confidencialidad (como TLS de una
vía donde el emisor valida al receptor), autenticando llamadas API
sobre TLS o sobre TLS de dos caminos.
▫️Protección en cada punto del flujo soportado por uno o más servidores
de interconexión entre los primeros saltos de back office y los
componentes de la infraestructura SWIFT. Para ello, se definen 2
mecanismos conjuntos:
▪️Uso de mecanismos o protocolos seguros como los mencionados
arriba protegiendo cada segmento.
▪️Securizar los servidores puente.
Para los flujos que no son debidamente protegidos debe establecerse un plan de acción, considerando la priorización de riesgos (apoyado en un Análisis de Riesgos), para:
▪️Implementar mecanismos o protocolos seguros ofrecidos por las interfaces, conectores o bridging servers.
▪️Migrar flujos legacy a mecanismos o protocolos seguros.
▪️Mitigar los riesgos en back office a ataques de spoofing o inyección de mensajes a través de sistemas o mediante salvaguardas de conectividad de red.
Como nota adicional, la normativa indica el carácter obligatorio para proteger los flujos Legacy dentro de la versión de 2028, los cuales son “advisory” actualmente, por lo que actualmente se considera como buenas prácticas su protección.
Aplicación de controles de seguridad a conectores de cliente consumidor
Tal y como aparecía en la versión de 2025, muchos de los controles de seguridad pasarán a ser de obligatorio cumplimiento para conectores de cliente consumidor (customer client connectors), es decir, endpoints consumiendo APIs, middleware, o clientes de transferencia de ficheros utilizados para conectarse a un proveedor SWIFT de conectividad, a un agente de externalización o a un Group Hub remoto. Este concepto se extenderá para cubrir endpoints clientes o servidores conectados a un proveedor de servicio o a SWIFT. Estos sistemas serán evaluados de forma obligatoria dentro de los controles:▪️1.2 Control de cuentas privilegiadas en sistemas operativos
▪️1.3 Protección de las plataformas de virtualización o cloud
▪️1.4 Restricción del acceso a Internet
▪️2.2 Actualizaciones de seguridad
▪️2.3 Bastionado de sistemas
▪️2.6 Confidencialidad e integridad de sesiones de operadores
▪️2.7 Escaneo de vulnerabilidades
▪️3.1 Seguridad física
▪️4.1 Política de contraseñas
▪️4.2 Autenticación MFA
▪️5.1 Control de acceso lógico
▪️5.4 Protección del repositorio de contraseñas
▪️6.1 Protección malware
▪️6.4 Logging y monitorización
Estos controles pasan a ser de obligatorio cumplimiento para los conectores de cliente consumidor, dejando de ser buenas prácticas su implementación.
Adicionalmente, este cambio requiere que algunos usuarios que previamente justificaban su arquitectura como tipo B, tengan que evaluarla como tipo A4 cuando se utilice un conector de cliente consumidor.
Clarificaciones adicionales
Otros cambios menores incluidos en la edición de 2026 del CSCF, y que no suponen un gran impacto a la hora de implementar o evaluar los controles de seguridad dentro de los entornos SWIFT, a tener en cuenta son:
▪️Actualización de la guía y buenas prácticas en criptografía dentro del artículo 5021566: https://www2.swift.com/knowledgecentre/kb_articles/5021566
▪️Se incluyen cuentas Alliance LSO/RSO (Left Security Officer/Right Security Officer) como cuentas privilegiadas y que deben cumplir con una serie de controles adicionales de seguridad, así como nuevas especificaciones para proteger del uso de cuentas de emergencia o cuentas break-glass.
▪️Requerimiento de MFA para acceso privilegiado a los administradores para la gestión de firewalls desde el exterior.
▪️Protección antimalware de equipos que no sean Windows ubicados dentro de la zona segura o que aloja un conector de cliente consumidor, proponiendo el uso de soluciones EPP o EDR.
▪️Se añade SWIFT Universal Confirmation (UC) como opción para realizar validaciones de transacciones o reconciliación más allá de MT 900/MT 910 y MT940/MT 950 cuando existe actividad fuera de horas de negocio.
▪️Validación de todo software descargable, tanto externo como interno, con el objetivo de proteger la integridad de todos los componentes dentro del entorno SWIFT a través de comprobaciones de checksum, procesos de gestión de lanzamientos, etc.
▪️Clarificación de términos, como es el caso de los bridging servers, equipos de primer salto en back office, conectores cliente consumidores y las nuevas opciones Alliance Connect, así como la actualización de los diagramas incluidos.
▪️Otros pequeños cambios que no tienen gran impacto en la implantación y evaluación de SWIFT. Estos cambios menores pueden verse en el propio documento publicado por SWIFT dentro de su biblioteca.
Conclusiones
La versión 2026 del Customer Security Controls Framework (CSCF) no introduce una gran cantidad de cambios importantes en comparación con la edición anterior, pero sí incorpora ajustes que resultan significativos para la seguridad de los entornos SWIFT, confirmando la madurez del marco y su orientación hacia un entorno de seguridad cada vez más estricto y con más alcance.
El principal cambio que encontramos en la edición 2026 está en el control 2.4 Seguridad del Flujo de Datos de Back Office, que pasa de ser recomendable a obligatorio, protegiendo cualquier flujo entre back-office y los componentes SWIFT, reduciendo la posibilidad de brechas de seguridad y protegiendo la información desde su origen hasta los componentes dentro del alcance. Para las arquitecturas de tipo B, este control de seguridad pasa a no aplicar.
Del mismo modo, se incluyen nuevos controles aplicables a los conectores de cliente consumidor, ampliando el alcance del marco y asegurando que este tipo de integraciones cumplan con los mismos estándares de seguridad. 14 de los 32 controles de los que consta el CSCF 2026 pasan a aplicar a los conectores de cliente consumidor, mejorando la seguridad en estos sistemas, incluyendo aspectos de seguridad como la protección antimalware, autenticación multi-factor, configuración segura o protección de las contraseñas utilizadas para la autenticación en estos componentes.
Finalmente, se han introducido una serie de cambios menores, que incluyen especificaciones adicionales en cada uno de los controles de seguridad del CSCF, así como aclaraciones que aportan mayor precisión y coherencia al marco, facilitando su correcta interpretación e implementación en los entornos SWIFT.
En definitiva, el CSCF 2026 refuerza la confidencialidad, integridad y autenticidad de los datos transaccionales entre entidades, con el objetivo de seguir reduciendo los riesgos frente a ciberataques en los entornos SWIFT y minimizar el impacto financiero de transacciones fraudulentas. Todo ello a través una estrategia continuista al mantener los mismos objetivos, principios y controles de seguridad de ediciones anteriores del CSCF, y aportando procesos de mejora continua en los controles de seguridad definidos, evaluando nuevas vulnerabilidades, amenazas y vectores de ataque, así como considerando nuevas salvaguardas para proteger los entornos de los usuarios.
Referencias:
SWIFT Customer Security Controls Framework 2026: https://www2.swift.com/knowledgecentre/rest/v1/publications/cscf_dd/70.0/CSCF_v2026_202507015.pdf?logDownload=true
SWIFT Customer Security Controls Framework 2026 compared to v2025: https://www2.swift.com/knowledgecentre/rest/v1/publications/cscf_dd/70.0/CSCF_v2026_20250701_compared_to_v2025.pdf?logDownload=true
SWIFT glossary: https://www2.swift.com/knowledgecentre/publications/udic/18.0
