Che cos'è il SWIFT?

Il SWIFT (Society for Worldwide Interbank Financial Telecommunication) è un'impresa cooperativa formata da membri della comunità finanziaria. Il SWIFT è stato fondato nel 1973 da 239 banche in 15 paesi per standardizzare il formato delle informazioni finanziarie al fine di facilitare lo scambio elettronico di tali informazioni tra entità finanziarie o aziendali. Da allora, una transazione SWIFT è diventata lo standard dominante nel settore finanziario mondiale per i trasferimenti di fondi. Oggi oltre 11.000 istituzioni si collegano a SWIFT in più di 200 paesi e territori. Il sistema di messaggistica finanziaria SWIFTNet è una rete di messaggistica altamente stabile, con una disponibilità del 99,999%. Gli sforzi per la standardizzazione del SWIFT hanno portato a progressi nell’automazione e nei pagamenti, compresi i pagamenti transfrontalieri e i pagamenti in tempo reale. A causa delle implicazioni sulla sicurezza del trasferimento di fondi, il SWIFT ha sviluppato un sistema di sicurezza noto come CSCF (Customer Security Controls Framework)SWIFT. 

Il sistema SWIFT è una cooperativa composta da parti interessate attivamente coinvolte. Come organizzazione, SWIFT è controllata dalle banche centrali di Belgio, Francia, Stati Uniti, Canada, Germania, Italia, Paesi Bassi, Svezia, Svizzera, Giappone e Regno Unito.

Oltre a standardizzare la messaggistica finanziaria, SWIFT fornisce anche un sistema di controlli di sicurezza per gli utenti SWIFT; il CSCF SWIFT comprende controlli di sicurezza consultivi e obbligatori.

Il CSCF SWIFT richiede che le organizzazioni proteggano il proprio ambiente utilizzando misure come i controlli di accesso con privilegi minimi. Il CSCF estende le misure di protezione includendo una risposte e una gestione degli incidenti efficace. Le soluzioni di sicurezza Akamai forniscono intelligence e protezione end-to-end per proteggere i dati finanziari da violazioni ed esposizione accidentale. Akamai aiuta i vostri team di sicurezza a massimizzare l'efficacia e il ROI dei vostri investimenti nella sicurezza andando oltre il tradizionale rilevamento degli endpoint, per fornire una potente soluzione Zero Trust per la sicurezza e la privacy dei dati. 

Akamai offre:

• Una piattaforma di sicurezza globale che applica il modello di sicurezza Zero Trust con una copertura completa degli ambienti IT, IoT e OT
• Una profonda visibilità su risorse, accessi e flussi di rete
• Applicazione granulare della policy di sicurezza

I volumi crescenti e la complessità in evoluzione delle frodi rivolte alla rete SWIFT e agli altri sistemi di pagamento hanno portato alla creazione del CSCF (Customer Security Controls Framework) SWIFT, parte del relativo programma di sicurezza dei clienti (CSP, Customer Security Program. Il CSCF è un sistema di sicurezza con controlli di sicurezza obbligatori e consultivi che si applicano a qualsiasi istituto finanziario che utilizza il sistema di messaggistica SWIFT. Il CSCF è costituito da tre obiettivi in cui rientrano sette principi di sicurezza strategica. Il sistema CSCF comprende quattro architetture utente SWIFT: A1, A2, A3 e B. I controlli di sicurezza richiesti dipendono dall'architettura in cui rientra un utente SWIFT.

Gli attacchi mirati al SWIFT, come la rapina alla banca centrale del Bangladesh del 2016 che ha causato perdite per oltre 81 milioni di dollari, hanno portato allo sviluppo del sistema di sicurezza informatica CSCF per mitigare gli attacchi ai clienti SWIFT. Tuttavia, i criminali informatici continuano a prendere di mira SWIFT, con un rapporto del Consiglio europeo per i pagamenti del 2021 che registra esempi di attacchi informatici multivettore che sfruttano l’infrastruttura bancaria relativa al SWIFT. Il rapporto evidenzia alcune importanti violazioni dei dati che coinvolgono i dati delle carte bancarie basate su attacchi APT mirati contro l'ufficio servizi SWIFT. Nel 2021, SWIFT ha aggiornato le proprie misure CSCF per limitare l'accesso a Internet da consultivo a obbligatorio, insieme a un utilizzo più robusto dell'autenticazione multifattore durante la presentazione o l'accesso a un servizio, un'applicazione o un componente correlato a SWIFT gestito da un provider di servizi. Le seguenti istituzioni sono tenute ad aderire al CSCF di SWIFT:

Istituti finanziari - Gli istituti finanziari che utilizzano la piattaforma di messaggistica SWIFT devono rispettare i controlli obbligatori del CSCF. Ciò significa che queste istituzioni devono disporre di solidi controlli di sicurezza che proteggano l’organizzazione dalle minacce esterne e interne. I controlli includono la protezione dalle vulnerabilità per bloccare le infezioni da malware e ransomware, nonché la separazione dei ruoli e dei privilegi di accesso per proteggere dati sensibili, credenziali e risorse critiche. Uno dei principi fondamentali alla base dei controlli CSCF è quello della gestione degli accessi con privilegi minimi. Implementando un modello di sicurezza Zero Trust, le organizzazioni finanziarie possono proteggere il proprio ambiente, proteggersi dallo sfruttamento delle vulnerabilità, gestire le identità e separare i privilegi, allineandoli al CSCF.

Terze parti e fornitori - Qualsiasi entità che aiuti gli istituti finanziari a elaborare, archiviare o trasmettere informazioni sulle transazioni finanziarie SWIFT deve inoltre conformarsi ai controlli CSCF. Lo stesso modello di sicurezza Zero Trust aiuterà queste entità terze ad aderire ai controlli obbligatori del CSCF di SWIFT. In tal modo, questi fornitori proteggeranno la propria organizzazione dagli attacchi informatici mirati alla supply chain e ad altri membri della supply chain, compresi gli istituti finanziari per cui operano.

La conformità al CSCF SWIFT richiede l'attestazione attraverso una valutazione indipendente. Un'organizzazione deve disporre delle misure di sicurezza adeguate per prepararsi a questa valutazione. Il rispetto del CSCF di SWIFT richiede un approccio sistematico alla sicurezza. Un’architettura Zero Trust supporta i necessari controlli obbligatori e consultivi del CSCF SWIFT. Applica i controlli CSCF per unire tecnologia e policy e per consentire una strategia di sicurezza a un livello granulare che filtra l'intera potenziale superficie di attacco. Akamai fornisce una suite di soluzioni completa che comprende un'ampia gamma di controlli richiesti dal CSCF SWIFT. Akamai supporta inoltre la conformità al CSCF SWIFT fornendo funzionalità di gestione del rischio, creazione di rapporti e documentazione, il tutto utilizzando una strategia Zero Trust.

SWIFT fornisce tre servizi di messaggistica principali:

FIN - FIN è il principale servizio di messaggistica di SWIFT; è progettato per facilitare lo scambio di singoli messaggi strutturati utilizzando i formati di messaggio MT/MX e ISO 15022. Inoltre, FIN esegue la convalida del formato dei messaggi, il monitoraggio della consegna, l'archiviazione e il recupero.

FileAct - FileAct è un sistema per supportare trasferimenti di file strutturati di grandi dimensioni e in blocco, come file di pagamenti in blocco o informazioni a valore aggiunto sui titoli.

InterAct - InterAct fornisce un servizio di non ripudio per messaggi finanziari basati su XML, inclusi messaggi in formato SWIFT MX e ISO 20022..

SWIFT GPI - Oltre 4.000 istituti finanziari hanno aderiti a SWIFT GPI, una piattaforma di pagamenti transfrontalieri. La piattaforma è ottimizzata per pagamenti rapidi e fornisce funzionalità di tracciamento.

SWIFT GPI Instant - SWIFT GPI Instant combina i pagamenti istantanei di SWIFT GPI con le reti di pagamento nazionali in tempo reale per effettuare pagamenti transfrontalieri in modo rapido e semplice.

SWIFT Go - SWIFT Go è uno standard per i pagamenti internazionali di basso valore.

SWIFT collabora con ISO per sviluppare standard: 

• ISO 15022: utilizzato per il regolamento dei titoli e l'amministrazione di beni.
• ISO 20022: un nuovo standard di messaggistica globale aperto che si applica a tutti i processi del settore finanziario.

SWIFT non è responsabile del monitoraggio o del controllo dei messaggi SWIFT inviati tramite il sistema SWIFT. Invece, le transazioni finanziarie sottoposte a sanzioni sono determinate dagli istituti finanziari e dalle autorità nazionali che li supervisionano. Le sanzioni finanziarie applicate durante l'invasione russa dell'Ucraina sono state applicate da entità nazionali; per esempio, l' l’Unione Europea ha deciso di escludere le principali banche russe dal sistema SWIFT.