Conformité SWIFT CSP : bien plus qu'une attestation annuelle

Le 27 mai 2016, SWIFT annonçait officiellement le lancement du Customer Security Programme (CSP), une initiative destinée à renforcer la sécurité de l'ensemble des institutions connectées à son réseau. L'objectif du CSP est d'élever le niveau de cyber‑résilience de toute la communauté financière et lutter contre des attaques de plus en plus sophistiquées, ciblant principalement les systèmes locaux des organisations plutôt que le réseau SWIFT central.

Qu'est-ce que SWIFT ?

La Society for Worldwide Interbank Financial Telecommunication (SWIFT) est la plateforme mondiale de messagerie sécurisée utilisée par plus de 11 000 institutions financières dans plus de 200 pays.

Elle permet l'échange standardisé, fiable et sécurisé de messages financiers, essentiels à la réalisation de transactions internationales.

Chaque établissement y est identifié via son BIC (Bank Identifier Code), également appelé code SWIFT.

Lancement du SWIFT CSP puis du CSCF

Si le cœur du réseau n'a jamais été compromis, plusieurs attaques ont mis en évidence la vulnérabilité des environnements locaux des clients. Des cybercriminels sont parvenus à détourner des fonds en subtilisant des identifiants SWIFT légitimes et en envoyant des messages frauduleux depuis des systèmes insuffisamment protégés. Consciente que la confiance mondiale placée dans son réseau dépend autant de la robustesse de ses propres infrastructures que de celle de ses utilisateurs, en 2016 SWIFT lance un programme conçu pour améliorer la sécurité locale, renforcer la détection des anomalies et harmoniser les exigences de contrôle au niveau international.

En 2017, SWIFT a publié le Customer Security Controls Framework (CSCF), un référentiel recensant l'ensemble des contrôles de sécurité que les membres doivent appliquer pour protéger leurs infrastructures liées à SWIFT. Ce cadre évolue chaque année, intégrant de nouveaux contrôles et renforçant progressivement les exigences. Cette dynamique impose aux clients SWIFT une démarche d'amélioration continue et non un simple exercice déclaratif.

Le CSCF repose sur trois objectifs structurants : la sécurisation de l'environnement SWIFT, la gestion des identités et des accès, ainsi que la détection et la réponse aux menaces. L'objectif n'est pas uniquement de réduire la surface d'attaque, mais également de garantir l'intégrité des messages transmis et de prévenir toute action frauduleuse initiée depuis le système d'un client compromis.

Sécurisation de l'environnement

La gestion des identités et des accès

Détection et réponse aux menaces

Figure 2 : Vue d'ensemble des contrôles de sécurité du CSCF

Les étapes de conformité

Depuis 2021, SWIFT impose une évaluation indépendante annuelle couvrant l'ensemble des contrôles applicables selon l'architecture retenue. Le CSCF définit 5 typologies d'architecture : A1, A2, A3, A4 ou B qui servent à déterminer le périmètre de l'évaluation SWIFT CSP et donc les contrôles applicables.

Les typologies d'architecture

La nouvelle version du CSCF renforce le périmètre de conformité en intégrant davantage de "customer client connectors" dans le scope, en conséquence des configurations auparavant qualifiées "B" peuvent basculer vers une architecture "A4".

L'évaluation et l'attestation KYC-SA

L'évaluation peut être conduite par un audit interne de l'organisation ou par un évaluateur externe certifié. Les résultats doivent être formalisés dans une attestation déposée sur l'application KYC‑SA (Know Your Customer – Security Attestation) avant le 31 décembre. La mise à disposition publique de cette attestation auprès des contreparties renforce la transparence et permet une meilleure gestion du risque entre institutions financières.

L'apport du cabinet face à la complexité de conformité

La conformité au CSCF s'inscrit dans un cadre exigeant, s'appuyant sur des normes de référence telles que NIST, ISO 27002 ou PCI‑DSS. Toutefois, la traduction opérationnelle de ces exigences reste complexe : segmentation, durcissement des environnements, gestion des secrets, supervision en continu, maintien en condition de sécurité… autant d'éléments qui nécessitent une organisation mature, des processus maîtrisés et une gouvernance structurée.

Chez WLF, nous considérons que la conformité SWIFT CSP ne peut être réduite à une attestation annuelle. Le cycle d'évolution du CSCF, le passage régulier de contrôles consultatifs à obligatoires et la multitude d'environnements techniques imposent une approche durable, technique et structurée. Seules les organisations qui adoptent une vision de long terme, articulée autour de la gestion du risque, de l'industrialisation des contrôles et de l'anticipation des évolutions, parviennent à éviter de réagir dans l'urgence à chaque nouvelle version du CSCF. Notre conviction est que le SWIFT CSP doit être piloté comme un programme de résilience à part entière, intégré à la stratégie de cybersécurité de l'organisation.