A cura di Angelo Chiarot – Senior Security Advisor di Kirey Group
La Society for Worldwide Interbank Financial Telecommunication, meglio nota come SWIFT, è un’organizzazione fondata a Bruxelles nel 1973 con l’obiettivo di stabilire processi e standard comuni per le transazioni finanziarie a livello globale. Impiegato per lo scambio di 37.7 milioni di messaggi giornalieri nel 2020[1], con una crescita del 10.3% rispetto al 2019[2], il circuito SWIFT conta nel febbraio 2021 l’adesione di più di 11.000 Istituzioni globali connesse da 200 diversi Paesi[3].
|
In relazione al continuo manifestarsi ed all’evolvere degli eventi di frode che hanno impatto sul settore finanziario, come evidenziato dai rapporti di Enti quali l’ENISA – European Union Agency for Cybersecurity e il CLUSIT – Associazione Italiana per la Sicurezza Informatica, il modello definito da SWIFT è la risposta alle richieste delle Istituzioni bancarie e finanziarie internazionali, che hanno avuto ed hanno la necessità di disporre di un sistema che consenta lo scambio monetario da un Paese all’altro con modalità certe, affidabili e soprattutto sicure. |
Fonte: SWIFT, dicembre 2019 |
Con l’obiettivo di determinare le componenti di sistema interessate, oltre agli aspetti organizzativi (ad es. ruoli aziendali o terzi coinvolti), all’interno del perimetro sul quale insiste l’applicazione dei controlli di sicurezza (secure zone), SWIFT richiede che le entità identifichino quale delle cinque architetture di riferimento (vedi Figura 1) sia più vicina a quanto messo in campo nel proprio ambiente operativo per la trasmissione e ricezione dei messaggi.
In accordo con un approccio basato sull’individuazione e mitigazione del rischio, l’identificazione dell’architettura di riferimento consente la puntuale determinazione dei controlli di sicurezza applicabili alla secure zone ed alle parti interne ed esterne coinvolte (ad es. service provider); elementi sui quali sarà inoltre basata la successiva attività di Assessment, necessaria a dimostrare la conformità e la maturità in materia di sicurezza. Raggiungere e poter dimostrare la conformità, oltre ad essere fattori che consentono la mitigazione di fenomeni di frode e perdita diretta, permettono la condivisione con i propri partner nazionali ed internazionali del carattere di affidabilità e di sicurezza raggiunti, rafforzando così ulteriormente l’immagine e la reputazione dell’Organizzazione.
Figura 1 – Architetture di riferimento
Con il Customer Security Programme (CSP), SWIFT classifica le architetture di riferimento mediante l’identificazione di interfacce, applicazioni e strumenti tipicamente utilizzati, specificando come diverse implementazioni possono tuttavia essere connotate da un consistente livello di personalizzazione, rispetto ai gruppi di seguito identificati:
Il Customer Security Programme (CSP) prescrive inoltre ad ogni entità di definire, documentare, applicare e verificare i propri processi di pagamento e le proprie componenti tecnologiche in ordine agli obiettivi di controllo, ai principi ed ai singoli controlli di sicurezza definiti da SWIFT (vedi Figura 2), nel rispetto dei criteri di applicabilità propri di ogni tipologia di architettura utilizzata.
I controlli di sicurezza, non limitati alle tecnologie, ma applicabili anche a persone e processi dell’Organizzazione, sono suddivisi in mandatory (obbligatori) e advisory (discrezionali). Questi rappresentano la selezione effettuata da SWIFT dei controlli provenienti dai principali standard e best practice, più utilizzati e riconosciuti a livello globale, quali il Payment Card Industry Data Security Standard (PCI DSS), gli Information Security Management Systems (ISO/IEC 27002) e il National Institute of Standards and Technology (NIST), per la protezione della riservatezza, dell’integrità e disponibilità delle informazioni, nonché della continuità del servizio.
Figura 2 – Tassonomia dei controlli
I controlli selezionati aiutano le Organizzazioni nella mitigazione dei rischi di sicurezza che paiono via via sempre più incombenti, in ordine al panorama attuale delle minacce. Indirizzare adeguatamente questi rischi consente quindi la prevenzione e riduzione di potenziali eventi avversi, fraudolenti e di potenziale perdita, quali ad esempio:
Il Regolamento prevede che le Organizzazioni debbano attestare annualmente il loro stato di conformità, tipicamente all’interno del periodo luglio-dicembre, in relazione ai criteri di aggiornamento annuale della documentazione di riferimento, in particolare del Customer Security Control Framework (CSCF).
A partire dalla metà del 2021, le attestazioni di conformità presentate secondo il CSCF v.2021, devono essere il risultato della valutazione dei controlli di sicurezza condotta in modo indipendente, esclusivamente tramite:
Kima Projects & Services S.r.l. | Kirey Group, già Ente di certificazione dal 2006 per gli ambienti di pagamento elettronico secondo il Payment Card Industry Data Security Standard (PCI DSS) in ambito bancario e finanziario, nel 2020 ha ottenuto l’accreditamento come Assessor qualificato da SWIFT, tramite l’iniziativa Customer Security Programme (CSP) Assessment Provider, ottenendo l’abilitazione alla valutazione e validazione di ambienti di pagamento SWIFT.
Kima dispone di Senior Security Advisor con competenze ed esperienze più che ventennali, oltre a certificazioni in ambito security che ne consentono la qualificazione quali soggetti idonei per lo svolgimento di attività di verifica della conformità in merito ai requisiti di sicurezza di SWIFT.
Ad oggi, le certificazioni detenute dal Security Advisory Team sono le seguenti:
Attivamente coinvolta nell’erogazione di servizi per le Istituzioni bancarie e per gli operatori finanziari, Kima è quindi l’interlocutore adeguato che dispone di un’offerta per il Regolamento SWIFT che si compone delle seguenti principali attività: