O que é SWIFT?

SWIFT (Society for Worldwide Interbank Financial Telecommunication) é um empreendimento cooperativo formado por membros da comunidade financeira. A SWIFT foi fundada em 1973 por 239 bancos em 15 países para padronizar o formato das informações financeiras e assim facilitar a troca dessas informações entre entidades financeiras ou corporativas eletronicamente. Desde então, uma transação SWIFT se tornou o padrão atual em todo o setor financeiro mundial para transferências de fundos. Hoje, mais de 11.000 instituições conectam-se à SWIFT em mais de 200 países e territórios. O sistema de mensagens financeiras SWIFTNet é uma rede de mensagens altamente estável, com 99,999% de disponibilidade. Os esforços de padronização da SWIFT levaram a avanços na automação e nos pagamentos, incluindo pagamentos internacionais e em tempo real. Devido às implicações de segurança da transferência de fundos, a SWIFT desenvolveu uma estrutura de segurança conhecida como SWIFT CSCF (Customer Security Controls Framework). 

O sistema SWIFT é uma cooperativa composta por partes interessadas ativamente envolvidas. Como organização, a SWIFT é controlada pelos bancos centrais da Bélgica, França, Estados Unidos, Canadá, Alemanha, Itália, Holanda, Suécia, Suíça, Japão e Reino Unido.

Além de padronizar as mensagens financeiras, a SWIFT também fornece uma estrutura de controles de segurança para seus usuários. Trata-se da CSCF, que inclui controles de segurança consultivos e obrigatórios.

A CSCF da SWIFT exige que as organizações protejam seu ambiente usando medidas como controles de acesso com privilégios mínimos. A CSCF amplia as medidas de proteção para incluir respostas robustas e tratamento de incidentes. As soluções de segurança da Akamai fornecem inteligência e proteção completa para proteger os dados financeiros contra violações e exposição acidental. A Akamai ajuda suas equipes de segurança a maximizar a eficácia e o ROI de seus investimentos em segurança, indo além da detecção de ponto de extremidade tradicional para fornecer uma solução Zero Trust eficiente para a segurança e a privacidade dos dados. 

A Akamai oferece:

• Uma plataforma de segurança global que aplica a segurança Zero Trust com cobertura abrangente de seus ambientes de TI, IoT e TO
• Visibilidade profunda de ativos, acesso e fluxos de rede
• Aplicação granular de política de segurança

Os volumes cada vez maiores e a complexidade crescente de fraudes direcionadas à rede da SWIFT e a outros sistemas de pagamentos levaram à criação da CSCF (Customer Security Controls Framework) da SWIFT, que faz parte do CSP (Customer Security Program). A CSCF é uma estrutura de segurança com controles de segurança obrigatórios e consultivos que se aplicam a qualquer instituição financeira que use o sistema de mensagens da SWIFT. Três objetivos formam a CSCF e sete princípios de segurança estratégica são abrangidos por esses objetivos. A estrutura CSCF abrange quatro arquiteturas de usuário da SWIFT: A1, A2, A3 e B. Os controles de segurança necessários dependem da arquitetura em que o usuário da SWIFT se enquadra.

Grandes invasões direcionadas à SWIFT, como o assalto ao banco central de Bangladesh em 2016, que envolveu mais de US$ 81 milhões, levaram ao desenvolvimento da estrutura de cibersegurança CSCF para mitigar ataques a clientes da SWIFT. No entanto, os cibercriminosos continuam a visar a SWIFT, com um relatório do Conselho Europeu de Pagamentos de 2021 tendo registrado exemplos de ataques cibernéticos multivetoriais que exploram a infraestrutura bancária relacionada à SWIFT. O relatório aponta algumas violações importantes de dados envolvendo dados de cartões bancários com base em ataques APT direcionados contra a agência de serviços SWIFT. Em 2021, a SWIFT atualizou suas medidas CSCF para restringir o acesso à Internet de consultivo para obrigatório, juntamente com o uso mais robusto da autenticação multifator durante a apresentação ou ao acessar um serviço, uma aplicação ou um componente relacionados à SWIFT operados por um provedor de serviços. As seguintes instituições devem aderir à CSCF da SWIFT:

Instituições financeiras – As instituições financeiras que usam a plataforma de mensagens da SWIFT devem respeitar os controles obrigatórios da CSCF. Isso significa que essas instituições devem ter controles de segurança robustos protegendo a organização contra ameaças externas e internas. Os controles incluem proteção contra vulnerabilidades para impedir infecções por malware e ransomware, além de segregação de funções e de privilégios de acesso para proteger dados confidenciais, credenciais e ativos críticos. Um dos princípios fundamentais por trás dos controles da CSCF é o gerenciamento de acesso com privilégios mínimos. Ao implementar um modelo de segurança Zero Trust, as organizações financeiras podem proteger seu ambiente, proteger-se contra a exploração de vulnerabilidades e gerenciar identidades e segregar privilégios, alinhando-os com a CSCF.

Terceiros e fornecedores – Qualquer entidade que ajude instituições financeiras a processar, armazenar ou transmitir informações de transações financeiras SWIFT também deve cumprir os controles da CSCF. O mesmo modelo de segurança Zero Trust ajudará essas entidades de terceiros a aderir aos controles obrigatórios da CSCF da SWIFT. Ao fazer isso, esses fornecedores protegerão sua organização contra ataques cibernéticos direcionados à cadeia de suprimentos e a outros membros da cadeia de suprimentos, incluindo as instituições financeiras às quais atendem.

A conformidade com a CSCF da SWIFT exige certificação por meio de avaliação independente. Uma organização deve ter as medidas de segurança adequadas para se preparar para essa avaliação. Para lidar com a CSCF da SWIFT, é necessário usar uma abordagem sistemática em relação à segurança. Uma arquitetura Zero Trust suporta os controles obrigatórios e consultivos necessários da CSCF da SWIFT. Ela aplica os controles CSCF para combinar tecnologia e política e para permitir a segurança em um nível granular, que filtra toda a superfície de ataque em potencial. A Akamai fornece uma família abrangente de soluções que é composta de uma ampla variedade de controles exigidos pela CSCF da SWIFT. A Akamai também oferece suporte à conformidade com a CSCF da SWIFT, fornecendo gerenciamento de riscos, relatórios e documentação, tudo isso por meio de uma estratégia Zero Trust.

A SWIFT fornece três serviços principais de mensagens:

FIN – O FIN é o principal serviço de mensagens da SWIFT. Ele foi projetado para facilitar a troca de mensagens estruturadas individuais usando os formatos de mensagem MT/MX e ISO 15022. O FIN também executa a validação do formato da mensagem, o monitoramento da entrega e armazenamento e recuperação.

FileAct – O FileAct é um sistema para suportar transferências de arquivos estruturados grandes e em massa, como arquivos de pagamentos em massa ou informações de valor agregado de títulos.

InterAct – O InterAct fornece um serviço de não repúdio para mensagens financeiras baseadas em XML, incluindo mensagens formatadas SWIFT MX e ISO 20022.

SWIFT GPI – Mais de 4.000 instituições financeiras se inscreveram na SWIFT GPI, uma plataforma de pagamentos internacionais. A plataforma é otimizada para pagamentos rápidos e fornece recursos de rastreamento.

SWIFT GPI Instant – SWIFT GPI Instant combina pagamentos instantâneos da SWIFT GPI com redes nacionais de pagamento em tempo real para fazer pagamentos internacionais de forma rápida e contínua.

SWIFT Go – SWIFT Go é um padrão para pagamentos internacionais de baixo valor.

A SWIFT trabalha com a ISO para desenvolver padrões: 

• ISO 15022: usada para liquidação de títulos e serviços de ativos.
• ISO 20022: um novo padrão global aberto de mensagens que se aplica a todos os processos do setor financeiro.

A SWIFT não é responsável pelo monitoramento ou controle de mensagens SWIFT enviadas pelo sistema SWIFT. Em vez disso, as transações financeiras sujeitas a sanções são determinadas pelas instituições financeiras e pelas autoridades nacionais que as supervisionam. As sanções financeiras aplicadas durante a invasão da Ucrânia pela Rússia foram impostas por entidades nacionais. Por exemplo, a União Europeia concordou em excluir os principais bancos russos do sistema SWIFT.