Das Customer Security Controls Framework (CSCF) bildet seit 2017 die Grundlage für die Sicherheitsanforderungen von SWIFT. Es definiert Vorgaben, mit denen Organisationen ihre SWIFT-Infrastruktur besser vor Cyberangriffen schützen und Sicherheitsvorfälle frühzeitig erkennen können.
Organisationen, die das SWIFT-Netzwerk nutzen, müssen jährlich im Rahmen eines unabhängigen SWIFT Assessments nachweisen, dass sie diese Vorgaben erfüllen und geeignete Maßnahmen zum Schutz ihrer SWIFT-Infrastruktur umgesetzt haben. Das neueste Update des Frameworks, CSCFv2027, baut schrittweise auf der vorherigen Version auf. Es umfasst weiterhin 32 Controls, bestehend aus 26 verpflichtenden und sechs empfohlenen Controls. Mit dem Update werden vor allem Änderungen am Geltungsbereich und Klarstellungen zum Management von Secrets, zu künstlicher Intelligenz (KI), neuen Konnektivitätstechnologien, Transaktionssicherheit und Penetrationstests eingeführt.
Gemeinsam mit unserem Kollegen Najim Quraishi, Managing Consultant bei der usd AG und Auditor für internationale Sicherheitsstandards, geben wir Ihnen einen Überblick über die wichtigsten Neuerungen. Diese bereits zu kennen, verschafft Ihnen einen Vorteil, sowohl beim anstehenden SWIFT Assessment nach CSCFv2026 als auch in der anschließenden Übergangsphase bis zu Ihrem nächsten SWIFT Assessment im Jahr 2027.
Was sind die wichtigsten Änderungen im CSCFv2027?
Secrets and Keys Vaults nun im Scope
Das CSCFv2027 führt den technologieneutralen Begriff „Secrets and Keys Vault“ (SKV) ein. Er umfasst Lösungen zur Speicherung und Verwaltung von Anmeldedaten, API- und SSH-Schlüsseln, Zertifikaten und den dazugehörigen privaten Schlüsseln.
Ein SKV und sein zugrunde liegendes System müssen als Komponenten im Scope betrachtet und ähnlich wie die Anwendungen, die sie nutzen, geschützt werden. Extern gehostete oder ausgelagerte SKVs unterliegen ebenfalls der Kontrollmaßnahme 2.8.
Neue Leitlinien zur künstlichen Intelligenz (KI)
Die FAQ zum Customer Security Programme befassen sich nun auch mit KI-gesteuerten Agenten, die Geschäftstransaktionen generieren oder unterstützen. Diese Agenten sollten angemessen gesichert und gesteuert werden. Sind sie am Transaktionsmanagement beteiligt, müssen „Human-in-the-Loop“-Kontrollen (HITL) bereits bei der Konzeption integriert werden.
Control 2.2 befasst sich zudem mit KI-gesteuerten Cyberbedrohungen. SWIFT empfiehlt schnellere Sicherheitsupdates, eine risikobasierte Priorisierung von Schwachstellen sowie kompensierende Maßnahmen, falls eine zeitnahe Behebung nicht möglich ist.
Neue „Alliance Connect“-VPN-Technologie
Zwischen 2027 und 2029 plant SWIFT, die bestehenden SRX- und vSRX-Lösungen schrittweise durch neue VPN-Modelle des Secure Services Router (SSR) zu ersetzen.
Das neue Alliance Connect Virtual on Premises VPN soll auf einer dedizierten virtuellen Maschine bereitgestellt werden. Die VPN-Instanz und die ihr zugrunde liegende Virtualisierungsplattform fallen explizit in den Scope mehrerer CSCF-Controls.
CSCFv2027 führt außerdem das Swift Digital Ledger und das Swift Payment Scheme ein. Es ist zu erwarten, dass die Anforderungen für das Digital Ledger weiterentwickelt und möglicherweise in CSCFv2028 integriert werden. Schnittstellen und Konnektoren, die das Payment Scheme unterstützen, unterliegen weiterhin den geltenden CSCF-Anforderungen.
Ergänzende Erläuterungen zu Controls
Einige bereits vorhandene Controls wurden überarbeitet:
- Controls 1.1 und 1.5: Die Mikrosegmentierung gilt als eine mögliche Methode zum Schutz kritischer Systeme.
- Control 1.4: Die Anforderungen an den Internetzugang wurden für betroffene Systeme und Jump-Server präzisiert.
- Control 2.4: Die Definitionen von Backoffice-First-Hops und Bridging-Servern, die als Wächter des sicheren Datenaustauschs fungieren, wurden präzisiert.
- Controls 2.8 und 5.1: PKI-Schlüssel und -Zertifikate, die über O2M verwaltet werden, werden ausdrücklich eingeschlossen.
- Control 2.9: SWIFT legt den Schwerpunkt auf mehrstufige Kontrollen bei ausgehenden Transaktionen, anstatt sich ausschließlich auf Transaktionslimits zu verlassen.
- Control 2.11A: Regelmäßige Überprüfungen der RMA-Beziehungen gewinnen zunehmend an Bedeutung.
- Control 4.1: Der Passwortschutz verfolgt einen stärker risikobasierten Ansatz im Hinblick auf Brute-Force-Angriffe.
- Control 6.4: Es wird ausdrücklich bestätigt, dass das SWIFT-HSM in den Scope der Protokollierung und Überwachung fällt.
- Control 7.3A: Penetrationstests können als übergreifendes, risikobasiertes Programm organisiert werden, das im Laufe der Zeit eine umfassende Abdeckung gewährleistet.
Wie sollten sich Organisationen vorbereiten?
Organisationen sollten die Übergangsphase bis zur Einführung des CSCFv2027 nutzen, um ihre bestehende Umsetzung mit den neuen Anforderungen abzugleichen und mögliche Handlungsbedarfe frühzeitig zu identifizieren. Dazu gehört insbesondere die Überprüfung relevanter Secrets- und Keys-Vaults, die erneute Bewertung der eingesetzten Architektur sowie die Prüfung von KI-Agenten und KI-gestützten Prozessen hinsichtlich angemessener Governance-Strukturen und menschlicher Aufsicht.
Darüber hinaus empfiehlt SWIFT, Inventare und Netzwerkdiagramme an neue Alliance-Connect-Komponenten anzupassen sowie bestehende Regelungen zu Transaktionskontrollen und Penetrationstests zu überprüfen. Organisationen, die auf externe Dienstleister oder Outsourcing-Partner angewiesen sind, sollten diese frühzeitig in die Planung und Umsetzung der erforderlichen Maßnahmen einbeziehen.
Wir empfehlen Ihnen, die CSCFv2027-Gap-Analyse parallel zum aktuellen SWIFT-Assessment durchzuführen. Auf diese Weise können Sie betroffene Systeme, Zuständigkeiten und Nachweisanforderungen frühzeitig identifizieren und die erforderlichen Änderungen in Ihre Sicherheits-Roadmap einbeziehen.
Sie haben Fragen oder benötigen Unterstützung bei Ihrem anstehenden SWIFT Assessment? Kontaktieren Sie uns.
