Visión global del CSCF 2025

 

Swift CSCF 2025, lanzado en julio de 2024, es la última evolución del programa global de ciberseguridad que establece un conjunto de 31 controles (25 obligatorios y 6–7 asesorados) en tres objetivos fundamentales:

1. Secure Your Environment
2. Know and Limit Access
3. Detect and Respond (swift.com).

El programa diferencia entre controles mandatory (línea base comunitaria) y advisory, con un mecanismo claro que permite elevar temporalmente los “advisory” a un estado obligatorio, entregando hasta 18 meses para su implementación (swift.com).

Objetivo del CSCF

El Customer Security Controls Framework (CSCF) tiene como propósito fortalecer la seguridad de toda la comunidad conectada a la red SWIFT, estableciendo una línea base mínima de controles que deben ser implementados por todas las entidades usuarias en su infraestructura local.

El CSCF actúa como una barrera común frente a las amenazas emergentes, al estandarizar las buenas prácticas en seguridad operativa, gestión de accesos, detección de anomalías y respuesta a incidentes.

Además:

• Refuerza la resiliencia transaccional de la red global SWIFT.
• Facilita la confianza entre instituciones financieras, clientes y reguladores.
• Asegura que los cambios tecnológicos (Cloud, APIs, outsourcing) no comprometan la seguridad de los procesos críticos.
• Se alinea con marcos internacionales como ISO 27001, PCI DSS y NIST.

En resumen, el CSCF es un instrumento de ciberseguridad cooperativa que permite que cada entidad proteja su entorno y al mismo tiempo contribuya a la protección sistémica de la red financiera internacional.

-

-

Novedades y cambios recientes (2025)

• No se volvieron obligatorios nuevos controles para 2025, manteniendo la estabilidad tras varias ediciones (ajollyconsulting.co.uk).
• Control 2.4A (Back Office Data Flow Security) sigue como “advisory”, pero se espera que en 2026 pase a “mandatory” —por lo que organizaciones deben comenzar a planificar su ejecución proactiva (dionach.com).
• Ampliación del scope de “customer client connectors” (API, middleware, File Transfer, etc.), incluidos como advisory ahora y posiblemente obligatorios en 2026; algunas entidades Type B deben migrar a Type A4 (dionach.com).
• Se clarificaron definiciones de términos clave (“service provider”, “enterprise IT environment”, “customer connector”) y se incorporaron especificaciones técnicas sobre virtualización, plataformas Cloud, cifrado y escaneo de vulnerabilidades (ajollyconsulting.co.uk).
• Control 2.8 (Protección de actividades críticas tercerizadas) se confirmó como nuevo mandatory en 2025 —lo que refleja la creciente atención del sector financiero en la gestión de riesgo de terceros (bakertilly.com.kw).

Gobernanza y proceso de cumplimiento

• Ciclo anual de actualización: nuevas versiones del CSCF se anuncian a mitad de año; la fecha trimestral de implementación es entre julio y diciembre, y la attestation debe completarse antes del 31 de diciembre (swift.com).
• La evaluación independiente (auto‎-evaluación + auditoría interna/externa) es obligatoria y debe subirse al portal KYC‎-Security Attestation (KYC‎-SA) (swift.com).
• Se implementan controles de cambio progresivos: los nuevos advisories primero aparecen como recomendación y solo después de dos ciclos pasan a ser mandatarios (swift.com).

Relevancia estratégica para la alta dirección

1. Reducción sistémica del riesgo: el CSCF garantiza que las entidades implementen al menos una línea base de controles críticos, reduciendo exponencialmente el riesgo de fraudes, intrusiones o malware avanzados. Su cumplimiento es condición previa para operar en la red SWIFT y protege la reputación corporativa.
2. Gestión del ecosistema de terceros: con el control 2.8 obligatorio, organizaciones y sus proveedores (cloud, conectividad, bureaus) deben integrar la seguridad en su estrategia de outsourcing financiero.
3. Eficiencia operativa: el enfoque modular (mandatory vs advisory) y los plazos extendidos promueven una mejora continua sin necesidad de grandes sobrecostos inmediato.
4. Competencia y confianza de socios: el hecho de contar con una evaluación independiente fortalece la transparencia y reduce la incertidumbre en contrapartes y reguladores.
5. Preparación anticipada frente a cambios regulatorios: el CSCF alinea las prácticas con estándares globales como ISO 27001, PCI DSS, NIST, DORA y NIS2; la anticipación de cambios (como el 2.4A para 2026) permite una respuesta planificada.

Recomendaciones para C‎-Level

Área	Acción
Governance	Formalizar el CSCF v2025 en el programa de riesgos y seguridad, con seguimiento trimestral y comité ejecutivo.
Gap Analysis	Realizar una evaluación independiente del estado actual frente a CSCF 2025, con especial foco en controles 2.4A, 2.8 y client connectors.
Remediación & Roadmap	Priorizar migración a A4 y controles antes de 2026, incluyendo modernización de infraestructura (p.ej. abandonar Windows 10 en la zona segura).
Assurance	Contratar proveedor independiente certificado para evaluación, y planificar ejecución en window KYC‎-SA.
Integración estratégica	Revisar sinergias con ISO, PCI, BCRA y nuevos marcos de resiliencia operativa; impulsar un enfoque transversal.

El CSCF v2025 no sólo mantiene la solidez del ciberecosistema SWIFT: plantea un camino estratégico hacia una seguridad consolidada, sostenible y alineada con las mejores prácticas globales. La anticipación y gestión eficaz de los cambios (como 2.4A y 2.8) son clave para mantener integridad operativa, confianza en el mercado y cumplimiento regulatorio.