Cadre de référence SWIFT relatif aux mesures de sécurité des clients :

Vue d'ensemble

SWIFT publie chaque année une mise à jour du Cadre de contrôles de sécurité des clients (CSCF), environ un an avant la date d’entrée en vigueur, afin de laisser aux utilisateurs le temps de se préparer avant le cycle d’attestation de l’année suivante. Ce cadre comprend actuellement 32 contrôles, dont 25 obligatoires et 7 recommandés, alignés sur des normes reconnues telles que ISO 27002, PCI DSS, SOC 2 et NIST CSF. Chaque utilisateur SWIFT doit attester chaque année qu’il respecte au moins l’ensemble des contrôles obligatoires en vigueur, ce qui est vérifié par le biais d’une évaluation indépendante.

La version 2026 du CSCF apporte son changement le plus important depuis plusieurs cycles : la norme « Control 2.4A – Sécurité des flux de données back-office » passe du statut de recommandation à celui d’obligation. Cela étend la portée du cadre au-delà de la « SWIFT Secure Zone » pour inclure les serveurs relais, les intergiciels, les systèmes de transfert de fichiers et d’autres composants back-office qui traitent les données liées à SWIFT une fois qu’elles ont quitté l’infrastructure sécurisée centrale.

Pourquoi c'est important 

Chaque utilisateur SWIFT doit remplir l'attestation annuelle KYC-SA ; les contreparties et les autorités de régulation peuvent consulter le statut de cette attestation, ce qui fait de l'absence d'attestation ou d'un manquement grave un facteur direct dans les relations de correspondance bancaire, et non plus seulement un constat d'audit interne.

Le passage de la règle 2.4A au statut obligatoire signifie que la protection cryptographique ne peut plus se limiter aux composants de messagerie de la marque SWIFT. Les établissements doivent désormais recenser les flux de données entre la « Secure Zone » et les systèmes de back-office, et démontrer que les messages financiers, les fichiers de rapprochement et les données de référence sont protégés quel que soit leur parcours.

En quoi cela s'applique-t-il à la cryptographie ? 

Le cadre de contrôle de sécurité des clients SWIFT aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications directes en matière de cryptographie sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Contrôle 2.4A : Inventaire des flux de données : L'organisation a-t-elle dressé l'inventaire des flux de données directs et indirects entre la zone sécurisée et les systèmes de back-office, et a-t-elle évalué chacun d'entre eux en termes de confidentialité, d'intégrité et d'authenticité ?
• HSM et conservation des clés : existe-t-il des éléments indiquant que les clés liées à SWIFT sont générées et stockées à l'aide de mécanismes s'appuyant sur l'hardware?
• Exactitude de la déclaration KYC-SA : la déclaration de l'organisation reflète-t-elle fidèlement sa situation au regard de l'ensemble des contrôles obligatoires en vigueur ?
• Documentation relative à l'évaluation indépendante : Existe-t-il une documentation, telle que des schémas d'architecture et des inventaires des flux de données, permettant à un évaluateur indépendant de mener son examen ?
• Cartographie du périmètre des serveurs relais et des intergiciels : tous les serveurs relais, intergiciels et systèmes de transfert de fichiers entrant dans le périmètre de la mesure de contrôle 2.4A ont-ils été identifiés ?
• Software et vérification de la signature des configurations : l'organisation est-elle en mesure de démontrer que les modifications apportées à l'software et à la configuration des composants liés à SWIFT sont signées et vérifiées avant leur déploiement ?

TRANSMETTEZ CELA À LA DIRECTION

La norme CSCF v2026 rend obligatoire l'utilisation de Control 2.4A et étend nos obligations en matière de cryptographie au-delà de la « SWIFT Secure Zone » pour inclure les systèmes de middleware et de back-office qui traitent quotidiennement des données SWIFT. Il s'agit là d'un champ d'application nettement plus large que celui couvert par notre dernière évaluation indépendante.

Le statut de notre attestation est visible par nos contreparties et les autorités de régulation, ce qui fait de cette question un enjeu lié autant aux relations avec les banques correspondantes qu’à la sécurité. Nous devons disposer d’un inventaire à jour des flux de données back-office et des mesures de chiffrement qui les protègent bien avant l’ouverture de notre prochaine période d’attestation KYC-SA, et non pas le préparer pendant celle-ci.