¿Qué es SWIFT?

SWIFT (Sociedad de Telecomunicaciones Financieras Interbancarias Mundiales) es una sociedad cooperativa formada por miembros de la comunidad financiera. SWIFT fue fundada en 1973 por 239 bancos de 15 países para estandarizar el formato de la información financiera y facilitar el intercambio electrónico de dicha información entre entidades financieras o corporativas. Desde entonces, una transacción SWIFT es el estándar predominante en todo el sector financiero mundial para las transferencias de fondos. Hoy en día, más de 11 000 instituciones se conectan a SWIFT en más de 200 países y territorios. El sistema de mensajería financiera SWIFTNet es una red muy estable que cuenta con un 99,999 % de disponibilidad. Los esfuerzos de estandarización de SWIFT han dado lugar a avances en la automatización y los pagos, como los pagos transfronterizos y en tiempo real. Debido a las implicaciones de seguridad de la transferencia de fondos, SWIFT ha desarrollado un marco de seguridad conocido como el Marco de controles de seguridad del cliente (CSCF). 

El sistema SWIFT es una cooperativa formada por una serie de partes interesadas que participan activamente. Como organización, SWIFT está controlada por los bancos centrales de Bélgica, Francia, Estados Unidos, Canadá, Alemania, Italia, Países Bajos, Suecia, Suiza, Japón y el Reino Unido.

Además de estandarizar la mensajería financiera, SWIFT también proporciona un marco de controles de seguridad para los usuarios de SWIFT; el SWIFT CSCF incluye controles de seguridad obligatorios y de asesoramiento.

El SWIFT CSCF exige que las organizaciones protejan su entorno con medidas como controles de acceso con privilegios mínimos. El CSCF amplía las medidas de protección para incluir respuestas sólidas y gestión de incidentes. Las soluciones de seguridad de Akamai proporcionan inteligencia y protección integral para proteger los datos financieros frente a filtraciones y exposiciones accidentales. Akamai ayuda a sus equipos de seguridad a maximizar la eficacia y el ROI de sus inversiones en seguridad al ir más allá de la detección tradicional de terminales con el fin de proporcionar una potente solución Zero Trust para la seguridad y la privacidad de los datos. 

Akamai proporciona:

• Una plataforma de seguridad global que aplica Seguridad Zero Trust con cobertura completa de sus entornos de TI, IoT y TO
• Gran visibilidad de sus flujos de red, accesos y recursos
• Aplicación detallada de la política de seguridad

El aumento de los volúmenes y la creciente complejidad del fraude dirigido a la red SWIFT y a otros sistemas de pagos ha llevado a la creación del Marco de controles de seguridad del cliente (CSCF), que forma parte de su Programa de seguridad de clientes (CSP). CSCF es un marco de seguridad con controles de seguridad obligatorios y de asesoramiento que se aplican a cualquier institución financiera que utilice el sistema de mensajería SWIFT. El CSCF está conformado por tres objetivos y siete principios estratégicos de seguridad bajo dichos objetivos. Este marco abarca cuatro arquitecturas de usuario SWIFT: A1, A2, A3 y B. Los controles de seguridad necesarios dependen de la arquitectura bajo la que se encuentre un usuario SWIFT.

Grandes ataques dirigidos a SWIFT, como el atraco al Banco Central de Bangladesh en 2016, en el que fueron robados 81 millones de USD, llevó al desarrollo del marco de ciberseguridad CSCF para mitigar los ataques a los clientes de SWIFT. Sin embargo, los ciberdelincuentes siguen atacando a SWIFT, ya que un informe del Consejo Europeo de Pagos de 2021 registró ejemplos de ciberataques multivectoriales que explotaban la infraestructura bancaria relacionada con SWIFT. El informe señala algunas importantes filtraciones de datos relacionadas con datos de tarjetas bancarias basadas en ataques APT dirigidos contra la oficina de servicios de SWIFT. En 2021, SWIFT actualizó las medidas de su CSCF para pasar el acceso a Internet del rol de asesoramiento al obligatorio, junto con un uso de autenticación multifactorial más sólido durante la presentación o al acceder a un servicio, aplicación o componente relacionado con SWIFT operado por un proveedor de servicios. Las siguientes instituciones deben adherirse al SWIFT CSCF:

Instituciones financieras — Las instituciones financieras que utilizan la plataforma de mensajería de SWIFT deben respetar los controles obligatorios del CSCF. Esto significa que estas instituciones deben contar con controles de seguridad sólidos que protejan a la organización contra amenazas externas e internas. Los controles incluyen protección contra vulnerabilidades para detener las infecciones de malware y ransomware, así como la segregación de funciones y privilegios de acceso para proteger datos confidenciales, credenciales y activos esenciales. Uno de los principios básicos de los controles del CSCF es la gestión del acceso con privilegios mínimos. Mediante la implementación de un modelo de seguridad Zero Trust, las organizaciones financieras pueden proteger su entorno, defenderse de la explotación de vulnerabilidades, gestionar identidades y segregar privilegios, de forma que todo se ajuste al CSCF.

Terceros y proveedores — Cualquier entidad que ayude a las instituciones financieras a procesar, almacenar o transmitir información de transacciones financieras SWIFT también debe cumplir con los controles del CSCF. El mismo modelo de seguridad Zero Trust ayudará a estas entidades externas a adherirse a los controles obligatorios del SWIFT CSCF. Al hacerlo, estos proveedores protegerán a su organización de los ciberataques dirigidos a la cadena de suministro y a otros miembros de la misma, como las instituciones financieras a las que prestan servicio.

El cumplimiento del SWIFT CSCF requiere de una validación a través de una evaluación independiente. Una organización debe contar con las medidas de seguridad adecuadas para prepararse esta evaluación. Abordar el SWIFT CSCF requiere un enfoque sistemático de la seguridad. Una arquitectura Zero Trust respalda los controles obligatorios y de asesoramiento necesarios del SWIFT CSCF. Aplica los controles del CSCF para combinar tecnología y políticas, así como para habilitar la seguridad a un nivel granular que filtra toda la superficie del posible ataque. Akamai proporciona una completa familia de soluciones que abarca una amplia gama de controles que necesita el SWIFT CSCF. Akamai también respalda el cumplimiento del SWIFT CSCF al proporcionar gestión de riesgos, generación de informes y documentación, todo ello mediante una estrategia Zero Trust.

SWIFT proporciona tres servicios de mensajería principales:

FIN — FIN es el servicio de mensajería líder de SWIFT; está diseñado para facilitar el intercambio de mensajes estructurados individuales mediante los formatos de mensaje MT/MX e ISO 15022. Además, FIN realiza la validación del formato del mensaje, la supervisión de la entrega, el almacenamiento y la recuperación.

FileAct — FileAct es un sistema que admite transferencias de archivos estructurados grandes y masivas, como archivos de pagos masivos o información de valor añadido de valores.

InterAct — InterAct proporciona un servicio de no rechazo para mensajes financieros basados en XML, como los mensajes con formato SWIFT MX e ISO 20022.

SWIFT GPI — Se han suscrito más de 4000 instituciones financieras a SWIFT GPI , una plataforma de pagos transfronterizos. Está optimizada para pagos rápidos y ofrece capacidad de seguimiento.

SWIFT GPI Instant — SWIFT GPI Instant combina los pagos instantáneos de SWIFT GPI con las redes nacionales de pago en tiempo real para que los pagos transfronterizos sean rápidos y fluidos.

SWIFT Go — SWIFT Go es un estándar para pagos internacionales de valor bajo.

SWIFT trabaja con ISO para desarrollar estándares: 

• ISO 15022: se utiliza para la liquidación de valores y el servicio de activos.
• ISO 20022: un nuevo estándar de mensajería global abierto que se aplica a todos los procesos del sector financiero.

SWIFT no es responsable de supervisar ni controlar los mensajes enviados a través de su sistema. En cambio, las transacciones financieras que están sujetas a sanciones las determinan las instituciones financieras y las autoridades nacionales que las supervisan. Las sanciones financieras que se aplicaron durante la invasión rusa de Ucrania las aplicaron entidades nacionales; por ejemplo, la Unión Europea acordó excluir a los principales bancos rusos del sistema SWIFT.