Express-Ausgabe 46 - Financial Services Aktuell

SWIFT CSP: SWIFT schärft das Sicherheitsprogramm im Kampf gegen Cyberattacken

Die Society for Worldwide Interbank Financial Telecommunication (SWIFT) regelt heute den Nachrichten- und Transaktionsverkehr von weltweit über 11‘000 Banken über ihr sicheres und standardisiertes Telekommunikationsnetz. Die wachsende Anzahl von Cyberangriffen auf dieses SWIFT-Netz und auf Infrastrukturen von Netzwerkteilnehmern hat die Transaktionsspezialisten veranlasst, ein Sicherheitsprogramm für ihre Teilnehmer zu entwickeln. Dieses Sicherheitsprogramm trägt den Namen CSP (Customer Security Programme). Ziel ist es damit die Kräfte der Netzwerkteilnehmer zu bündeln, um Bedrohungen aus dem Cyberspace die Stirn zu bieten. 

Mit vereinten Kräften gegen Bedrohungen aus dem Cyberspace

Das CSP wurde 2017 gestartet. Es definiert Anforderungen an alle angeschlossenen Teilnehmer mit dem Ziel, den Informationsaustausch innerhalb der SWIFT-Community zu verbessern und die lokale SWIFT-Infrastruktur der Teilnehmer auf einem angemessenen Sicherheitsniveau zu halten. Mit diesem Rahmen für eine abgestimmte Qualitätssicherung will SWIFT den zunehmenden Cyberrisiken begegnen und die Abwehrkräfte der SWIFT-Teilnehmer gegen Cyberattacken stärken.

Ab 2019 strengere Kontrollen für Netzwerkteilnehmer

SWIFT passt ihr Sicherheitsprogramm jedes Jahr den aktuellen Gegebenheiten an. Für 2019 hat sie drei bisher fakultative Kontrollen («Advisory») zu verbindlichen Kontrollen («Mandatory») heraufgestuft und zwei neue «Advisory»-Kontrollen ins Programm aufgenommen (vgl. Abbildung 1). Zudem wurden einzelne bestehende Kontrollen konkretisiert. Am 10. August 2018 hat SWIFT ihre neue CSP-Version veröffentlicht. Die teilnehmenden Finanzinstitute müssen bis spätestens Ende 2019 gegenüber der SWIFT nachweisen, dass sie alle «Mandatory»-Kontrollen einhalten.

Implementierung mit weitreichenden Folgen

Erfahrungen aus den Attestierungszyklen haben gezeigt, dass die Implementierung des Sicherheitsprogramms und das laufende Einhalten der CSP-Anforderungen für SWIFT-Teilnehmer einen enormen Aufwand bedeuten. Die Anforderungen der SWIFT sind umfangreich und erfassen ebenfalls die lokale IT-Infrastruktur der Teilnehmer. Zudem gehen einzelne Ansprüche bei Netzwerkteilnehmern über die hauseigenen Anforderungen an einen soliden Grundschutz hinaus.

Bestätigung der SWIFT-Compliance ein Muss

Seit Ende 2017 müssen alle Teilnehmer Jahr für Jahr bestätigen, dass sie die CSP-Kontrollen einhalten. Sie können frei wählen, ob sie diesen Nachweis im Rahmen eines Selbstattestes (Self-Attestation), eines internen Audits (Self-Inspection) oder eines externen Audits (Third-Party-Inspection) erbringen.

Aus Gründen der Qualitätssicherung behält sich SWIFT vor, von einer Auswahl an Teilnehmern ein unabhängiges, externes Audit zu verlangen. Diese Veränderung im Prozess hat SWIFT bereits umgesetzt, wie sie den Netzwerkteilnehmern im Herbst 2018 mit dem «Customer Security Programme Newsletter: Q4 2018» mitteilte.

Am Branchenevent «SWIFT International Banking Operations Seminar» (SIBOS) im Oktober 2018 in Sidney kündigte SWIFT zudem Anpassungen am Nachweisprozess an. Demnach will sie die Vorgaben für die Bestätigung verschärfen. 

Externer Audit als weitsichtige Lösung

Die einwandfreie Umsetzung der SWIFT-Anforderungen lässt sich mit einem strukturierten Vorgehen leichter nachweisen. Wir von PwC können Sie in dabei in unterschiedlichen Rollen unterstützen (vgl. Abbildung 2). So helfen wir SWIFT-Netzwerkteilnehmern, ihre Informations- und Cybersicherheit gerade auch unter hohem Zeitdruck regelkonform auszugestalten und ihre SWIFT-Compliance gezielt zu verfeinern.