Đánh giá Tuân thủ SWIFT (CSP)

Qua nhiều năm kinh nghiệm thực hiện đánh giá tuân thủ hệ thống SWIFT (SWIFT CSCF) cho nhiều ngân hàng bản địa và tổ chức tài chính chính. Thông qua bài viết này, SQC Certification mong muốn cung cấp cho Quý khách hàng cái nhìn tổng quan về các yêu cầu bảo mật, an ninh thông tin của SWIFT, đồng thời chia sẻ những kinh nghiệm thực tiễn rút ra trong quá trình đánh giá giá hấp dẫn. Qua đó, giúp các tổ chức hiểu rõ hơn về SWIFT hệ thống, nắm bắt được những lưu ý quan trọng trong quá trình phát triển khai báo, vận hành và sử dụng hệ thống, cung cấp bảo đảm an toàn, bảo mật và đáp ứng đầy đủ các yêu cầu bổ sung thủ công công nghiệp theo tiêu chuẩn SWIFT.

---

Tiêu chuẩn SWIFT CSP là gì?

Khung Kiểm soát Bảo mật Khách hàng SWIFT (Chương trình Bảo mật Khách hàng – CSP) là chương trình bắt buộc thực thi lệnh cấm SWIFT, áp dụng cho tất cả các ngân hàng và mạng lưới tổ chức tài chính chính của SWIFT. xây dựng hệ thống xác định các ứng dụng yêu cầu bảo mật cho mạng lưới tổ chức SWIFT, bao gồm các kiểm soát Kiểm soát bắt lực và kiểm soát Mang tính khuyến nghị. Trong đó, các kiểm soát bắt buộc đóng vai trò thiết lập mức độ bảo mật tối thiểu đối với hệ thống các tầng bên dưới là điều kiện tiên quyết để tất cả các đơn vị sử dụng SWIFT đều phải bổ sung thủ công. Công việc ưu tiên khai báo các điều khiển này giúp SWIFT nhanh chóng nâng cao mức độ an toàn, tăng cường hiệu quả bảo vệ thực tế và hạn chế các rủi ro xảy ra trong thời gian ngắn.

Khung chương trình và các tổ chức được yêu cầu:

• Thiết lập và duy trì các biện pháp Kiểm soát bảo mật CNTT
• Bảo vệ môi trường bằng cách sử dụng SWIFT trước các mối đe dọa
• Bắt buộc tự đánh giá thập niên liên tục và gửi cam kết cho SWIFT

Từ khi ra đời sau các cuộc tấn công mạng lớn vào hệ thống ngân hàng, ngọc bảo an toàn cho toàn bộ hệ sinh thái SWIFT. SWIFT CSP được xây dựng và phát triển mạnh mẽ để trở thành thành viên của một số chương trình và phổ biến rộng rãi cho các tổ chức ngân hàng tài chính.

---

Các thành phần chính của SWIFT CSP

1: Khung kiểm soát an ninh CSP (CSP Control Framework – CSCF)

Thành phần đầu tiên cũng là quan trọng nhất là CSCF. Đây là điểm trái tim của SWIFT CSP có quy định tối thiểu về các yêu cầu bảo mật mà tổ hợp chức năng sử dụng SWIFT phải đính kèm thủ công.

Khung CSCF này bao gồm 4 mục bảo mật chính :

1. Chế độ truy cập Internet (Restrict Internet Access)

2. Bảo vệ môi trường SWIFT (Protect the SWIFT Environment )

3. Phát hiện và cố định ứng dụng (Phát hiện và phản hồi)

4. Giảm thiểu rủi ro & chia sẻ thông tin ( Giảm tấn công & chia sẻ thông tin)

---

2: Kiểm soát bảo mật (Kiểm soát bảo mật)

Trong hệ thống khung CSCF, các điều khiển được chia thành:

• Kiểm soát bắt quân (Bắt quân) – tổ chức phải nén thủ công
• Advisory Controls (Khuyến nghị) – nên áp dụng để tăng cường an ninh

Hiện tại có tổng kiểm soát hiện tại: khoảng 32 kiểm soát (phiên bản cập nhật hằng năm của SWIFT).

---

3:Đánh giá & Chứng thực Hằng (Tự chứng thực)

Theo đó, các tổ chức, doanh nghiệp của bạn phải tự đánh giá mức độ thực hiện hàng năm của CSP. Kết quả cũng sẽ được công bố trên cổng thông tin Chứng thực KYC-Security (KYC-SA) của SWIFT. Ngoài ra có thể yêu cầu:

• Tự đánh giá nội bộ
• Hoặc đánh giá độc lập từ bên ba (Kiểm tra CNTT / chứng minh)

---

4: Tự xác thực (Tự đánh giá & kết thúc)

• Tổ chức phải tự đánh giá CSCF phức hợp
• Viết bản cam kết kết thủ thuật (Chứng thực) lên hệ thống SWIFT mỗi năm
• Thời hạn thường là trước ngày 31/12 năm không thay đổi

5: Cập nhật & cải tiến liên tục

• Update liên tục CSP SWIFT để hỗ trợ các liên kết mới
• Tổ chức phải: Theo dõi các thay đổi và điều chỉnh chính sách, hệ thống và quy trình phù hợp

---

Các điều kiện tồn tại thường xuyên trong kiểm soát SWIFT

Trong quá trình thực hiện hệ thống đánh giá chế độ ninh và chống lại SWIFT, chúng tôi đã nhận thấy nhiều chức năng chính của tổ chức vẫn tồn tại tại các điểm chưa đáp ứng đủ yêu cầu bảo mật theo quy định của SWIFT. Cụ thể, một số vấn đề phổ biến bao gồm:

• Phân vùng và cô lập mạng cho môi trường SWIFT chưa hoàn toàn an toàn để : Hệ thống SWIFT vẫn còn sử dụng mạng kết nối chung với các bộ máy nội bộ khác như thư điện tử hoặc dịch vụ Active Directory, làm tăng nguy cơ xâm nhập và rủi ro khi truyền lan lan.
• Chính sách và quy trình an toàn thông tin chưa được cập nhật kịp thời : Các tài liệu liên quan đến quản lý ổ, phòng chống mã độc và các quy trình bảo mật khác còn thiếu chi tiết, chưa phản ánh đúng trạng thái vận hành cũng như các mối đe dọa mới.
• Thiếu tiêu chuẩn và hướng dẫn tăng cường hệ thống bảo mật (tăng cường bảo mật) : Xây dựng, kiểm soát và cập nhật định nghĩa bất kỳ cấu hình nâng cao cấu hình bảo mật nào cho hệ thống SWIFT chưa được thực thi đầy đủ và tối ưu.
• Hoạt động quét và đánh giá ổ bảo mật chưa toàn diện : Việc kiểm tra chủ yếu tập trung vào máy chủ và ứng dụng quan trọng, trong khi các thiết bị mạng và hệ quản trị cơ sở dữ liệu chưa được đưa ra phạm vi đánh giá thường xuyên.
• Chính sách quản lý mật khẩu chưa được áp dụng đồng bộ : Các yêu cầu về độ dài, độ phức tạp, tài khoản khóa thời gian và bất kỳ thay đổi mật khẩu mới nào được áp dụng chỉ cho hệ thống Windows, chưa được mở rộng sang mạng thiết bị, bảo mật thiết bị và nền tảng Unix/Linux.

---

---

Đánh giá tổng hợp SWIFT CSP (SWIFT CSP Controls Framework) của Chứng nhận SQC

Bước 1: Chuẩn bị giai đoạn

Ở bước 1 này, tổ chức cần phải xác định phạm vi giá và tiêu chuẩn đầy đủ các nguồn lực cần thiết để đánh giá giá hợp lý của SWIFT CSP. Các tổ chức doanh nghiệp cần phải nhanh chóng kiểm soát và xác định phạm vi bao gồm SWIFT hệ thống, các môi trường hỗ trợ CNTT cũng như các quy trình liên quan. Trong đó, các tài liệu quan trọng như chính sách toàn thông tin, sơ đồ kiến ​​trúc mạng và báo cáo đánh giá trước đây cần được thu thập đầy đủ.

Trong bước này, tổ chức cần phân công trách nhiệm cho đội ngũ kỹ thuật và quản lý đóng vai trò trò chơi sau đó cung cấp bảo đảm quá trình đánh giá, phát triển một cách đồng bộ và hiệu quả.

---

Bước 2:Đánh giá hiện trạng (Gap Analysis)

Giai đoạn tiếp theo chính là đánh giá giá hiện tại hoặc phân tích GAP cho tổ chức bằng cách xác định khoảng cách giữa các chế độ phụ trợ của các tổ chức yêu cầu trong khung kiểm soát SWIFT CSP bảo mật. Ở bước này bao gồm các biện pháp kiểm soát nhẹ nhàng nhẹ nhàng cũng được đối chiếu một cách chi tiết với toàn bộ các kiểm soát của SWIFT, bao gồm cả kiểm soát Kiểm soát Kiểm soát và kiểm tra khuyến nghị. Thông qua quá trình kiểm soát, các lỗi, điểm chưa phù hợp hoặc cần cải thiện sẽ được ghi nhận và tổng hợp thành báo cáo hiện trạng giá kèm theo khuyến nghị giải quyết.

Bước 3: Lập kế hoạch

Dựa trên Gap Analysis kết quả, kế hoạch xây dựng sẽ được xây dựng để xử lý các lỗi đã được xác định rõ ràng. Các biện pháp cải thiện cần được ưu tiên theo mức độ rủi ro và cấp độ của thiết bị, đồng thời xác định thời gian thực hiện và nguồn năng lượng cần thiết. Công việc khai báo có thể bao gồm cấu hình hệ thống tối ưu, cập nhật và hoàn thiện chính sách bảo mật, cũng như đào tạo, nâng cao công thức an ninh cho đội ngũ nhân sự liên quan đến hệ thống SWIFT.

Bước 4:Đánh giá chính thức

Ở bước này chính là giai đoạn chính thức cũng được thực hiện bằng cách thức tấn công hệ thống tốt hận thù cũng đã đáp ứng đủ yêu cầu của SWIFT CSP. Với hoạt động này, thông thường các đơn vị tư vấn cũng có thể tham gia vào một cách độc lập nhằm đảm bảo tính khách quan. Với các biện pháp kiểm soát, điều này cũng đã được phát triển và kiểm tra đánh giá hiệu quả tốt thực tế. Đồng thời, giá đánh giá này cũng sẽ được tài liệu hóa một cách đầy đủ để phục vụ cho báo cáo.

Bước 5: Viết báo cáo cộng thủ SWIFT CSP

Sau khi hoàn thành đánh giá, báo cáo hoàn thiện của SWIFT CSP được tổ chức, trong đó nêu rõ các biện pháp kiểm soát đã được áp dụng kèm theo bằng chứng thực. Báo cáo này được cung cấp nền tảng chứng minh KYC-Security của SWIFT theo định nghĩa chính xác về thời gian. Bên cạnh đó, tổ chức cần thiết lập cơ chế giám sát bất kỳ chiến lược duy trì trạng thái thủ công ổn định nào.

Bước 6: Giám sát và cải tiến liên tục

Sau khi được đánh giá về mức độ giàu có và được đưa ra báo cáo thì công việc duy trì sự kiện này chính là một điều quan trọng. Việc giám sát cũng như cải tiến một cách liên tục chính là yêu cầu bắt buộc. Các tổ chức này cần phải thực hiện đánh giá một cách thức bất kỳ hàng năm theo các bản cập nhật mới của SWIFT CSP, điều chỉnh giải pháp bảo mật phù hợp với sự thay đổi của hệ thống và môi trường kinh doanh, đồng thời thường xuyên đào tạo, cập nhật kiến ​​thức một mạng lưới cho đội ngũ nhân sự.

---

Những lợi ích khi cộng thủ SWIFT CSP

Khi tổ chức, doanh nghiệp của bạn Xúc thủ tốt các yêu cầu của SWIFT CSP có thể giúp mang lại những lợi ích thiết thực như sau:

1. Tăng cường an ninh cho hệ thống SWIFT

Tuân thủ SWIFT CSP giúp tổ chức thiết lập và duy trì các biện pháp kiểm soát bảo mật theo tiêu chuẩn quốc tế, qua đó bảo vệ hiệu quả môi trường SWIFT trước mối đe dọa an ninh mạng như tấn công xâm nhập, giao dịch và mã độc tinh vi.

2. Giảm thiểu rủi ro về hành động và rủi ro về tài chính chính

Doanh nghiệp của bạn đã tiến hành áp dụng một cách đầy đủ các kiểm soát bảo mật bắt buộc và khuyến nghị của SWIFT CSP có thể giúp tổ chức các chế độ tối đa nguy hiểm đoạn dịch vụ, thoát dữ liệu và thất bại gây ra sự cố chính.

3. Đáp ứng yêu cầu bắt buộc của SWIFT

Việc làm thủ công được SWIFT CSP được tiến hành các yêu cầu cộng thủ mang tính bắt buộc đối với mạng lưới tổ chức mạng gia đình SWIFT. Việc tổ chức của bạn được tiến hành đáp ứng một cách đầy đủ nhất của các chương trình này giúp doanh nghiệp tránh các cảnh báo, biện pháp giám sát tăng cường hoặc các chế độ hạn chế từ SWIFT và đối tác tài chính chính.

4. Nâng cao uy tín và độ tin cậy cho đối tác

Thông qua cơ chế của hệ thống KYC-Security Attestation, trạng thái đẳng cấp thủ thủ SWIFT CSP cũng sẽ có thể được chia sẻ minh bạch trong toàn hệ thống sinh thái SWIFT, từ đó tăng niềm tin của các ngân hàng, tổ chức tài chính chính và đối tác quốc tế.

5. Chuẩn hóa hệ thống quản lý an toàn thông tin

Công việc thủ công của SWIFT CSP cần phải tạo nền tảng tốt để tổ chức chuẩn hóa chính sách, quy trình và cấu hình bảo mật CNTT, đồng thời hỗ trợ hợp lý và mang lại hiệu quả cho các tiêu chuẩn và thông tin toàn cầu khác như tiêu chuẩn ISO/IEC 27001 , PCI DSS hoặc NIST.

6. Cải thiện khả năng phát hiện và cố gắng ứng dụng

Việc làm thủ tục kiểm soát liên quan đến giám sát, ghi nhật ký và phản ứng cố gắng giúp tổ chức nâng cao khả năng phát hiện sớm, xử lý kịp thời và giảm thiểu tác động khi xảy ra sự cố trên mạng.

---

Dịch vụ tư vấn tuân thủ SWIFT CSP tại SQC Certification

---