Publicada el 1 de julio de 2025, la edición de CSCF de 2026 se compone de 3 objetivos (protección del entorno, saber y limitar el acceso; y detección y respuesta), 7 principios de seguridad y 32 controles de seguridad:
De los 32 controles de seguridad definidos en esta versión, 26 de ellos son de obligatorio cumplimiento, mientras que los otros 6 serán recomendables para mejorar el nivel de seguridad en el alcance. Estos controles de seguridad ayudan a mitigar riesgos específicos de ciberseguridad a los cuales lo usuarios de SWIFT deben enfrentarse. Dentro de cada control de seguridad, SWIFT documenta los riesgos más comunes que el control mitiga. De esta forma se previenen o se minimizan consecuencias de negocio que no son deseadas y potencialmente fraudulentas, tales como:
▪️Envío o modificación de transacciones de negocio no autorizadas.
▪️Procesamiento de transacciones entrantes de SWIFT alteradas o no autorizadas.
▪️Negocios con entidades no autorizadas.
▪️Brechas de confidencialidad (de datos de negocio, sistemas, detalles de operador, etc.).
▪️Brechas de integridad (de datos de negocio, sistemas, detalles de operador, etc.).
La implementación de los controles de seguridad debe incorporarse por parte de las organizaciones a nivel de gobernanza de ciberseguridad y dentro del programa de riesgos definido.
La versión 2026 del SWIFT CSCF presenta pocos cambios respecto a la edición anterior, la de 2025, manteniéndose la mayoría de los controles de seguridad y guías que ya se habían incluido en el pasado tal y como estaban. Todas las novedades en la presente versión serán analizadas a continuación:
Obligatoriedad del control 2.4 Seguridad del Flujo de Datos de Back Office
Tal y como se anunció el año pasado, el control 2.4 Seguridad del Flujo de Datos de Back Office pasa de tener un carácter recomendable a ser de obligatorio cumplimiento. Para arquitecturas SWIFT de tipo B, este control pasa a ser no aplicable.
El objetivo de este control es el de asegurar la confidencialidad, integridad y autenticidad de los datos intercambiados entre los primeros saltos de back-office y los componentes de la infraestructura SWIFT en entornos onpremise o remotos, protegiendo ante cualquier ataque Man-in-the-Middle, filtración o alteración de la información y acceso a los datos en tránsito.
Para ello, los flujos que tienen que ser tenidos en cuenta son:
▪️Flujos, directos o indirectos, entre componentes dentro de la infraestructura SWIFT y los primeros saltos de back office, utilizando uno o más servidores puente o “bridging servers”, tales como servidores de middleware, servidores de transferencia de ficheros o similares.
▪️Flujos hacia New HSMs.
▪️Flujos directos Legacy (recomendable su protección).
Para ello, el CSCF señala, como guía, la implementación de los siguientes controles de seguridad:
Otros cambios menores incluidos en la edición de 2026 del CSCF, y que no suponen un gran impacto a la hora de implementar o evaluar los controles de seguridad dentro de los entornos SWIFT, a tener en cuenta son:
▪️Actualización de la guía y buenas prácticas en criptografía dentro del artículo 5021566: https://www2.swift.com/knowledgecentre/kb_articles/5021566
▪️Se incluyen cuentas Alliance LSO/RSO (Left Security Officer/Right Security Officer) como cuentas privilegiadas y que deben cumplir con una serie de controles adicionales de seguridad, así como nuevas especificaciones para proteger del uso de cuentas de emergencia o cuentas break-glass.
▪️Requerimiento de MFA para acceso privilegiado a los administradores para la gestión de firewalls desde el exterior.
▪️Protección antimalware de equipos que no sean Windows ubicados dentro de la zona segura o que aloja un conector de cliente consumidor, proponiendo el uso de soluciones EPP o EDR.
▪️Se añade SWIFT Universal Confirmation (UC) como opción para realizar validaciones de transacciones o reconciliación más allá de MT 900/MT 910 y MT940/MT 950 cuando existe actividad fuera de horas de negocio.
▪️Validación de todo software descargable, tanto externo como interno, con el objetivo de proteger la integridad de todos los componentes dentro del entorno SWIFT a través de comprobaciones de checksum, procesos de gestión de lanzamientos, etc.
▪️Clarificación de términos, como es el caso de los bridging servers, equipos de primer salto en back office, conectores cliente consumidores y las nuevas opciones Alliance Connect, así como la actualización de los diagramas incluidos.
▪️Otros pequeños cambios que no tienen gran impacto en la implantación y evaluación de SWIFT. Estos cambios menores pueden verse en el propio documento publicado por SWIFT dentro de su biblioteca.
La versión 2026 del Customer Security Controls Framework (CSCF) no introduce una gran cantidad de cambios importantes en comparación con la edición anterior, pero sí incorpora ajustes que resultan significativos para la seguridad de los entornos SWIFT, confirmando la madurez del marco y su orientación hacia un entorno de seguridad cada vez más estricto y con más alcance.
El principal cambio que encontramos en la edición 2026 está en el control 2.4 Seguridad del Flujo de Datos de Back Office, que pasa de ser recomendable a obligatorio, protegiendo cualquier flujo entre back-office y los componentes SWIFT, reduciendo la posibilidad de brechas de seguridad y protegiendo la información desde su origen hasta los componentes dentro del alcance. Para las arquitecturas de tipo B, este control de seguridad pasa a no aplicar.
Del mismo modo, se incluyen nuevos controles aplicables a los conectores de cliente consumidor, ampliando el alcance del marco y asegurando que este tipo de integraciones cumplan con los mismos estándares de seguridad. 14 de los 32 controles de los que consta el CSCF 2026 pasan a aplicar a los conectores de cliente consumidor, mejorando la seguridad en estos sistemas, incluyendo aspectos de seguridad como la protección antimalware, autenticación multi-factor, configuración segura o protección de las contraseñas utilizadas para la autenticación en estos componentes.
Finalmente, se han introducido una serie de cambios menores, que incluyen especificaciones adicionales en cada uno de los controles de seguridad del CSCF, así como aclaraciones que aportan mayor precisión y coherencia al marco, facilitando su correcta interpretación e implementación en los entornos SWIFT.
En definitiva, el CSCF 2026 refuerza la confidencialidad, integridad y autenticidad de los datos transaccionales entre entidades, con el objetivo de seguir reduciendo los riesgos frente a ciberataques en los entornos SWIFT y minimizar el impacto financiero de transacciones fraudulentas. Todo ello a través una estrategia continuista al mantener los mismos objetivos, principios y controles de seguridad de ediciones anteriores del CSCF, y aportando procesos de mejora continua en los controles de seguridad definidos, evaluando nuevas vulnerabilidades, amenazas y vectores de ataque, así como considerando nuevas salvaguardas para proteger los entornos de los usuarios.
Referencias:
SWIFT Customer Security Controls Framework 2026: https://www2.swift.com/knowledgecentre/rest/v1/publications/cscf_dd/70.0/CSCF_v2026_202507015.pdf?logDownload=true
SWIFT Customer Security Controls Framework 2026 compared to v2025: https://www2.swift.com/knowledgecentre/rest/v1/publications/cscf_dd/70.0/CSCF_v2026_20250701_compared_to_v2025.pdf?logDownload=true
SWIFT glossary: https://www2.swift.com/knowledgecentre/publications/udic/18.0