O que é SWIFT?

SWIFT (Society for Worldwide Interbank Financial Telecommunication) é um empreendimento cooperativo formado por membros da comunidade financeira. A SWIFT foi fundada em 1973 por 239 bancos em 15 países para padronizar o formato das informações financeiras e assim facilitar a troca dessas informações entre entidades financeiras ou corporativas eletronicamente. Desde então, uma transação SWIFT se tornou o padrão atual em todo o setor financeiro mundial para transferências de fundos. Atualmente, mais de 11.000 instituições se conectam à SWIFT em mais de 200 países e territórios. O sistema de mensagens financeiras SWIFTNet é uma rede de mensagens altamente estável, com 99,999% de disponibilidade. Os esforços de padronização da SWIFT levaram a avanços na automação e nos pagamentos, incluindo pagamentos internacionais e em tempo real. Devido às implicações de segurança envolvidas na transferência de fundos, a SWIFT desenvolveu uma estrutura de segurança conhecida como SWIFT Customer Security Controls Framework (CSCF). 

O sistema SWIFT é uma cooperativa composta por partes interessadas ativamente envolvidas. Como organização, a SWIFT é controlada pelos bancos centrais da Bélgica, França, Estados Unidos, Canadá, Alemanha, Itália, Holanda, Suécia, Suíça, Japão e Reino Unido.

Além de padronizar as mensagens financeiras, o SWIFT também fornece uma estrutura de controles de segurança para usuários SWIFT; o SWIFT CSCF abrange controles de segurança obrigatórios e sugeridos.

A CSCF da SWIFT exige que as organizações protejam seu ambiente usando medidas como controles de acesso com privilégios mínimos. A CSCF amplia as medidas de proteção para incluir respostas robustas e tratamento de incidentes. As soluções de segurança da Akamai fornecem inteligência e proteção completa para proteger os dados financeiros contra violações e exposição acidental. A Akamai ajuda suas equipes de segurança a maximizar a eficácia e o ROI de seus investimentos em segurança, indo além da detecção de ponto de extremidade tradicional para fornecer uma solução Zero Trust eficiente para a segurança e a privacidade dos dados. 

A Akamai oferece:

• Uma plataforma de segurança global que impõe uma segurança Zero Trust com cobertura abrangente dos seus ambientes de TI, IoT e TO
• Visibilidade profunda de ativos, acesso e fluxos de rede
• Aplicação granular de política de segurança

Os volumes cada vez maiores e a complexidade crescente de fraudes direcionadas à rede da SWIFT e a outros sistemas de pagamentos levaram à criação da CSCF (Customer Security Controls Framework) da SWIFT, que faz parte do CSP (Customer Security Program). A CSCF é uma estrutura de segurança com controles de segurança obrigatórios e consultivos que se aplicam a qualquer instituição financeira que use o sistema de mensagens da SWIFT. Três objetivos formam a CSCF e sete princípios de segurança estratégica são abrangidos por esses objetivos. A estrutura CSCF abrange quatro arquiteturas de usuário da SWIFT: A1, A2, A3 e B. Os controles de segurança necessários dependem da arquitetura em que o usuário da SWIFT se enquadra.

Ataques de grande escala e direcionados à SWIFT, como o roubo de mais de US$ 81 milhões do banco central de Bangladesh em 2016, levaram ao desenvolvimento da estrutura de segurança cibernética CSCF para mitigar ataques contra clientes da SWIFT. No entanto, os cibercriminosos continuam tendo a SWIFT como alvo. Um relatório de 2021 do European Payments Council registrou exemplos de ataques cibernéticos multivetoriais que exploravam a infraestrutura bancária relacionada à SWIFT. O relatório aponta algumas violações importantes de dados envolvendo dados de cartões bancários com base em ataques APT direcionados contra a agência de serviços SWIFT. Em 2021, a SWIFT atualizou suas medidas CSCF para restringir o acesso à Internet de consultivo para obrigatório, juntamente com o uso mais robusto da autenticação multifator durante a apresentação ou ao acessar um serviço, uma aplicação ou um componente relacionados à SWIFT operados por um provedor de serviços. As seguintes instituições devem aderir à CSCF da SWIFT:

Instituições financeiras — As instituições financeiras que usam a plataforma de mensagens da SWIFT devem respeitar os controles obrigatórios da CSCF. Isso significa que essas instituições devem ter controles de segurança robustos protegendo a organização contra ameaças externas e internas. Os controles incluem proteção contra vulnerabilidades para impedir infecções por malware e ransomware, além de segregação de funções e de privilégios de acesso para proteger dados confidenciais, credenciais e ativos críticos. Um dos princípios fundamentais por trás dos controles da CSCF é o gerenciamento de acesso com privilégios mínimos. Ao implementar um modelo de segurança Zero Trust, as organizações financeiras podem proteger seu ambiente, proteger-se contra a exploração de vulnerabilidades e gerenciar identidades e segregar privilégios, alinhando-os com a CSCF.

Terceiros e fornecedores — Qualquer entidade que ajude instituições financeiras a processar, armazenar ou transmitir informações de transações financeiras SWIFT também deve cumprir os controles da CSCF. O mesmo modelo de segurança Zero Trust ajudará essas entidades de terceiros a aderir aos controles obrigatórios da CSCF da SWIFT. Ao fazer isso, esses fornecedores protegerão sua organização contra ataques cibernéticos direcionados à cadeia de suprimentos e a outros membros da cadeia de suprimentos, incluindo as instituições financeiras às quais atendem.

A conformidade com a CSCF da SWIFT exige certificação por meio de avaliação independente. Uma organização deve ter as medidas de segurança adequadas para se preparar para essa avaliação. Para lidar com a CSCF da SWIFT, é necessário usar uma abordagem sistemática em relação à segurança. Uma arquitetura Zero Trust suporta os controles obrigatórios e consultivos necessários da CSCF da SWIFT. Ela aplica os controles CSCF para combinar tecnologia e política e para permitir a segurança em um nível granular, que filtra toda a superfície de ataque em potencial. A Akamai fornece uma família abrangente de soluções que é composta de uma ampla variedade de controles exigidos pela CSCF da SWIFT. A Akamai também oferece suporte à conformidade com a CSCF da SWIFT, fornecendo gerenciamento de riscos, relatórios e documentação, tudo isso por meio de uma estratégia Zero Trust.

A SWIFT fornece três serviços principais de mensagens:

FIN — O FIN é o principal serviço de mensagens da SWIFT. Ele foi projetado para facilitar a troca de mensagens estruturadas individuais usando os formatos de mensagem MT/MX e ISO 15022. O FIN também executa a validação do formato da mensagem, o monitoramento da entrega e armazenamento e recuperação.

FileAct — O FileAct é um sistema para suportar transferências de arquivos estruturados grandes e em massa, como arquivos de pagamentos em massa ou informações de valor agregado de títulos.

InterAct — O InterAct fornece um serviço de não repúdio para mensagens financeiras baseadas em XML, incluindo mensagens formatadas SWIFT MX e ISO 20022.

SWIFT GPI — Mais de 4.000 instituições financeiras aderiram ao SWIFT GPI, uma plataforma de pagamentos internacionais. A plataforma é otimizada para pagamentos rápidos e fornece recursos de rastreamento.

SWIFT GPI Instant — O SWIFT GPI Instant combina os pagamentos instantâneos do SWIFT GPI com redes nacionais de pagamentos em tempo real para tornar os pagamentos internacionais rápidos e contínuos.

SWIFT Go — O SWIFT Go é um padrão para pagamentos internacionais de baixo valor.

A SWIFT trabalha com a ISO para desenvolver padrões: 

• ISO 15022: usada para liquidação de títulos e serviços de ativos.
• ISO 20022: um novo padrão global aberto de mensagens que se aplica a todos os processos do setor financeiro.

A SWIFT não é responsável pelo monitoramento ou controle de mensagens SWIFT enviadas pelo sistema SWIFT. Em vez disso, as transações financeiras sujeitas a sanções são determinadas pelas instituições financeiras e pelas autoridades nacionais que as supervisionam. As sanções financeiras aplicadas durante a invasão da Ucrânia pela Rússia foram impostas por entidades nacionais. Por exemplo, União Europeia concordou em excluir importantes bancos russos do sistema SWIFT.