Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

05/06/2023

Cybersecurity Insights

Evaluation SWIFT : rétrospective des évaluations 2022 pour planifier sereinement l’exercice 2023

Depuis 2021, tous les clients SWIFT se trouvent dans l’obligation de réaliser une évaluation de conformité dans le cadre du Customer Security Program (CSP) de SWIFT. C’est dans ce cadre que ces derniers sont amenés à réaliser ces activités d’évaluation en interne ou à les faire réaliser par des évaluateurs indépendants externes tels qu’Almond, afin de démontrer leur niveau de conformité.

Rappel du contexte et des enjeux de SWIFT

Le CSP s’appuie sur le CSCF (Customer Security Controls Framework) qui inclut en 2023 :

  • d’une part 24 mesures de sécurité obligatoires pour les utilisateurs de SWIFT et définies pour un type d’architecture (A1, A2, A3, A4 ou B) ; Ces architectures peuvent pour un BIC unique inclure différents éléments techniques et fonctionnels
  • d’autre part 8 mesures de sécurité recommandées que les utilisateurs peuvent mettre en œuvre dans leur environnement relatif à l’utilisation des services SWIFT
  • Cette évaluation doit être réalisée sur le périmètre de responsabilité de chaque utilisateur, et sur la totalité des mesures du Framework concernant la ou les architectures employées

Chaque utilisateur SWIFT peut attester de sa conformité vis-à-vis du framework, et ainsi participer au maintien de la confiance entre les différents maillons de la chaîne SWIFT.

Les attestations d’évaluation du niveau de conformité devront être ensuite publiées par les utilisateurs dans l’application KYC-SA de SWIFT (Know Your Customer – Security Attestation) pour le ou les BIC associés, jusqu’au 31 décembre de chaque année.

Comment se déroule une évaluation de conformité SWIFT ?

Chaque utilisateur consommant des services SWIFT doit se conformer à cet exercice.

Celui-ci doit se dérouler entre juillet et décembre de chaque année, avec l’obligation de compléter le formulaire (KYC) afin de détailler pour chaque mesure, le niveau de conformité associé.

Il est alors nécessaire de faire réaliser cette évaluation soit par une équipe d’audit interne (indépendante des équipes métiers, et IT / sécurité), soit par un prestataire indépendant, spécialisé dans l’audit de sécurité et référencé sur le site de SWIFT comme étant habilité à mener ce type de démarches.

Almond accompagne ainsi depuis 2021 plusieurs dizaines d’entreprises dans la réalisation de leur évaluation de conformité SWIFT et l’amélioration du niveau de sécurité de leur environnement.

Quelques chiffres sur plusieurs dizaines de clients évalués par Almond

0 %
utilisent une architecture de type B
0 %
utilisent une architecture de type A4
0 %
utilisent une architecture de type A3
0 %
utilisent une architecture de type A2
0 %
Moyenne des niveaux de conformité : Calculée pour l’ensemble des exigences applicables pour tous les clients
0 %
Pourcentage de clients étant 100% conforme dès la phase initiale de l’évaluation
0 %
Pourcentage de clients étant 100% conforme après le cycle complet de l’évaluation (audit à blanc + audit de conformité)
0 %
Pourcentage de clients disposant d’une seule non-conformité en complétant son KYC
0 %
Pourcentage de clients disposant d’au moins 3 non-conformités ou plus en complétant son KYC

Suis-je éligible à l'évaluation SWIFT ?

Les principes suivants s’appliquent dans la grande majorité des contextes. Aussi, seront éligibles les entreprises concernées par un ou plusieurs de ces cas de figure :

Je suis une grande entreprise

J’utilise des applications de trésorerie et les services SWIFT, en direct ou via certains prestataires (notamment les services bureaux), je suis éligible au programme CSP et donc à l’évaluation de conformité SWIFT.

Je suis une PME ou TPE

J’utilise les services SWIFT, je suis également éligible, au même titre que les grandes entreprises. La plus simple architecture est généralement utilisée dans ce contexte (Architecture de type B, avec une application SaaS de trésorerie)

Je suis une PME ou TPE

J’utilise les services SWIFT, je suis également éligible, au même titre que les grandes entreprises. La plus simple architecture est généralement utilisée dans ce contexte (Architecture de type B, avec une application SaaS de trésorerie)

En cas de non-réalisation de ces évaluations, et donc d’absence de complétion du KYC, ou de démarche inadaptée (autre qu’audit de seconde ou tierce partie), les accès aux services SWIFT ne seront pas suspendus.

Néanmoins SWIFT sera en mesure de communiquer cette non-conformité vers tous les partenaires et clients de l’entreprise en défaut, utilisateurs également de ces services, avec ce que cela implique en termes de déficit d’image et de confiance.

SWIFT se réserve également le droit dans le CSP d’exiger une évaluation indépendante auprès du client SWIFT pour s’assurer de son niveau de conformité au standard.

Retour d'expérience de la campagne 2022

L’année 2022 a été marquée par une campagne intense, avec une sensible hausse des demandes d’évaluations SWIFT pour la seconde année consécutive. Almond a eu l’opportunité d’accompagner plusieurs dizaines de ces entreprises, évoluant dans différents secteurs d’activités, avec un dénominateur commun, les efforts orientés vers la réduction du risque cyber et la conformité au framework CSCF.

Fort de cette expérience, nous souhaitons aujourd’hui partager avec vous les principaux concepts et points du référentiel qui font parfois l’objet d’incompréhensions, ou d’un manque de rigueur.

Quand réaliser l’évaluation ? Le plus tôt sera le mieux !

Vous le savez, les évaluations SWIFT peuvent être complétées à partir du mois de juillet et ce jusqu’au 31 décembre de l’année en cours.

Sur la base d’une évaluation SWIFT positive l’année précédente, il est très fréquent de retarder l’évaluation, parfois jusqu’au dernier moment. En effet, nous avons pu constater que 60% des évaluations SWIFT ont lieu sur les deux derniers mois !

Il est cependant nécessaire de rester vigilant, chaque année le CSCF est mis à jour et comporte de nouvelles instructions qui nécessiteront peut-être des travaux importants pour vous mettre en conformité. L’évolution du contexte cyber est également pris en compte par les évaluateurs, des mesures jugées nécessaires et suffisantes en 2022, ne le seront peut-être plus en 2023. Il est donc important d’assurer une veille portant sur l’état des menaces (Almond Threat Landscape), et les évolutions des référentiels pour la conformité.

Pas d’inquiétude cependant, au sein d’Almond nous avons conscience des enjeux associés à l’évaluation SWIFT et nous proposons plusieurs approches, complémentaires et pragmatiques, permettant de réaliser ces activités dans les temps et sans pression.

La méthode est basée sur une évaluation à blanc pouvant être réalisée à tout moment de l’année afin de sécuriser la démarche et évaluer le niveau de conformité de façon plus sereine, permettant de disposer du plan d’action détaillé permettant un gain majeur en termes de maturité Cyber, mais également en termes de conformité vis-à-vis de SWIFT.

Authentification Multi-Facteurs (MFA), un sujet simple pourtant si complexe

L’authentification multi-facteurs est largement répandue dans nos accès quotidiens, à nos outils collaboratifs, ou nos applications métiers, notamment dans le cadre du télétravail pour permettre les connexions à distance à ces environnements.

Dans ses principes fondamentaux, l’exigence 4.2 du CSCF reprend les meilleures pratiques en la matière et requiert l’utilisation de 2 facteurs à minima parmi les suivants :

  • Ce que je sais (tel qu’un mot de passe) ;
  • Ce que j’ai (tel qu’un token USB, un TOTP, une carte à puce ou une 3skey pour les signataires) ;
  • Ce que je suis (tel qu’une empreinte digitale par exemple).

Cependant, d’autres éléments sont à prendre en compte dans l’implémentation du MFA pour être conforme au CSCF et leur manque de considération peut induire un risque pour l’entreprise.

En premier lieu, lorsqu’un facteur de connaissance (mot de passe) est combiné avec un facteur de possession (tel qu’un TOTP), l’équipement utilisé pour obtenir le facteur de possession doit être distinct de celui utilisé pour renseigner le premier facteur.

L’utilisation du même équipement, très souvent l’ordinateur portable du collaborateur, pourrait permettre à un individu malveillant ayant compromis cet équipement d’obtenir les deux facteurs nécessaires à la connexion à l’environnement associé à SWIFT.

L’implémentation de ces facteurs sur le même équipement est souvent liée à un besoin de simplifier l’usage. Ainsi, bien que des mesures techniques complémentaires pourraient être mises en place pour protéger de manière plus adéquate le second facteur pour ce cas d’usage précis, cela nuirait à l’objectif premier de simplicité et il est bien souvent plus simple de séparer les équipements.

Enfin, il a été constaté une autre dérive liée au MFA bien souvent incomprise des utilisateurs SWIFT. Dans le cas d’une architecture de type B, aucune emprise SWIFT n’est dans le périmètre de responsabilité du client (hormis bien entendu les postes utilisateurs de l’entreprise. Le client ne dispose donc pas de zone sécurisée en interne (au sens SWIFT, comme des serveurs applicatifs interfacés directement à SWIFT ou à un service bureau par exemple) et dispose bien souvent uniquement d’un accès à la GUI qui est alors le seul composant dans le périmètre de l’exigence liée au MFA.

Certains clients ont donc réalisé l’implémentation suivante :

  • L’utilisateur se connecte au réseau de l’entreprise (via MFA) ;
  • L’utilisateur se connecte ensuite à l’interface GUI de l’application via un compte local à l’application et un mot de passe séparé.

Cette implémentation présente cependant plusieurs défauts :

  • L’objectif de SWIFT, tel que cela peut être constaté à travers les exigences 1.1 et 1.5 sur les environnements sécurisés, est de protéger l’environnement SWIFT considéré de confiance de menaces en provenance du reste du SI qui pourrait être potentiellement compromis. C’est donc bien l’accès à la GUI, composant de l’environnement sécurisé qui doit être protégée par MFA et non les accès préalables.
  • Dans certains cas, le chemin d’accès nominal indiqué ci-dessus n’est pas le seul à exister et des modes dégradés existent permettant une connexion en direct à la GUI sans implémentation de MFA.

Il a été constaté à maintes reprises à travers ces exemples que l’implémentation du MFA nécessite une réflexion poussée pour être conforme à l’exigence du CSCF tout en étant compatible avec les usages de l’entreprise et une simplicité d’utilisation pour l’utilisateur.

Par ailleurs, certains éditeurs d’applications de trésorerie proposent une fonction de MFA intégrée, compatible avec de nombreuses solutions du marché (Microsoft Authenticator par exemple), et d’autres non, laissant les utilisateurs désœuvrés face à ce chantier complexe, leur faisant prendre du retard, avec pour conséquence de ne pas être conforme en fin d’année sur ce dispositif. Afin d’aider les utilisateurs SWIFT dans leur choix, la version 2023 du CSCF recommande la lecture du référentiel NIST SP 800-63B.

Le durcissement : très souvent LE maillon faible

Le durcissement des systèmes s’applique à tout type d’architecture et d’équipement, tel que cela est décrit dans l’exigence 2.3 du CSCF.

Il a pu cependant être constaté que les aspects de durcissement sont complexes à mettre en œuvre, notamment pour les raisons suivantes :

  • Les postes opérateurs SWIFT non dédiés font très souvent partie du parc global de l’entreprise et ne bénéficient pas de configuration dédiée. Le déploiement d’un durcissement à grande échelle peut avoir de nombreux effets de bords, particulièrement sur les compatibilités applicatives.
  • Les référentiels tels que le CIS1 ou le STIG, suivis tels quels peuvent représenter un challenge difficile à surmonter et décourageant pour certaines équipes, le guide CIS Windows 10 contient par exemple plus de 1300 pages.
  • Un faux sentiment de sécurité lié aux mesures de sécurité implémentées par le constructeur / éditeur par défaut, ces travaux sont donc jugés non prioritaires.
  • La méconnaissance du sujet par la plupart des équipes IT, et l’aspect pouvant paraitre comme étant colossal du projet de durcissement touche de nombreuses entreprises, et débouche sur le strict minimum ou aucune action. Très rares sont les entreprises étant matures sur ce point.

Almond vous recommande donc :

  • De vous outiller afin de vous permettre de déployer à grande échelle les nouvelles configurations et de les vérifier/pousser régulièrement tel que cela est requis par le standard CSCF.
  • De réaliser des phases de tests préalables sur un échantillon représentatif, en laissant l’opportunité de déverrouiller les paramètres en cas de problème, pour ne pas susciter de frustration chez les utilisateurs.
  • Les standards de sécurité tels que le CIS ou le STIG2 classe leurs recommandations selon différents niveaux. Par exemple le guide W10 du STIG contient 257 points de configuration classés en 3 catégories selon leur criticité. Il pourrait être intéressant de prioriser pour diminuer la charge de travail tout en assurant une couverture de plus en plus importante dans le temps. Almond met notamment en avant certains de ces points comme étant incontournables, les autres étant dans la plupart des contextes superflus ou trop poussés pour une PME par exemple.
  • De documenter les écarts avec le ou les standards sélectionné(s). Il ne s’agit pas de mettre en avant les lacunes mais de faciliter les mises à jour. En plus d’être demandé par le standard CSCF, cela permet de justifier chacune des exceptions accordées afin de pouvoir revenir dessus si cela n’est plus nécessaire et cela permet aussi de conserver l’historique de vos travaux afin de ne pas avoir à tout recommencer dès qu’une nouvelle version du guide de référence est publiée. Il s’agit bien ici d’un standard de durcissement, qui évoluera au fil des années, permettant de garder une vision claire de la conformité des OS déployés sur le parc.

Les configurations des équipements ne sont pas fixes, celles-ci peuvent évoluer via l’action d’un administrateur isolé ou d’une politique globale plus ou moins ancienne. Afin de diminuer la surface d’exposition de vos équipements, il est impératif de procéder à l’application d’un durcissement adapté à ses besoins.

Conclusion

Cet exercice de rétrospective couvrant les principales difficultés rencontrées par les entreprises lors de l’évaluation 2022 nous permet d’aborder plus en profondeur certains sujets spécifiques du CSCF. Dans un prochain article, nous aborderons les évolutions du référentiel CSCF pour la campagne 2023 et comment s’y préparer.

La démarche Almond propose justement un accompagnement complet, basé sur un audit à blanc préalable à l’évaluation finale, vous permettant de vous guider sur chaque point du référentiel et d’identifier toute non-conformité avant qu’elle n’impacte votre KYC.

La campagne 2023 est déjà lancée ! Prenez de l’avance en nous contactant au plus vite, pour aborder ce projet de manière sereine et avoir plus de temps pour effectuer les corrections nécessaires à la validation de l’évaluation finale.

Thierry CASIER

Manager Governance, Risks & Compliance

François PETIOT

Consultant Governance, Risks & Compliance

Pierre ZORDAN

Consultant Governance, Risks & Compliance

Voir les derniers Cybersecurity Insights

13 November 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
11 October 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
5 October 2023
Nouvelles menaces cyber, nouvelles solutions : téléchargez le Threat Landscape 2022-2023 Almond !
16 June 2023
Le SASE en 7 min chrono : décrypter le SASE, sa fonction et ses usages. Pour y voir plus clair, nous vous proposons d’entrer en immersion dans les plateformes SASE des experts du secteur. Découvrons ensemble, la solution SASE proposée par Cato Networks. Joseph Fernando, SE Manager South EMEA, chez Cato Networks réalise une démonstration technique de la solution Cato SASE Cloud, au côté de Benoit Vérove, Partner et Lead Security Integration chez Almond.
12 June 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
2 June 2023
Décryptez la technologie SASE, au travers d'une démonstration technique de la solution Harmony Connect proposée par Check Point.
2 June 2023
Le 24 mai 2023, le gouvernement Américain a publiquement attribué à la Chine une série d’attaques ciblant des infrastructures critiques situées aux États-Unis ainsi que sur l’île de Guam.
26 May 2023
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
4 May 2023
Après quelques rappels de la Directive NIS 1, l'article présentera les évolutions attendues avec l'adoption de la Directive NIS 2 et sa date d'entrée en vigueur.
4 May 2023
Cet article a pour objet de présenter les enjeux liés à la protection des données personnelles auxquels les régies publicitaires sont confrontées, et de présenter un processus de mise en conformité pour répondre à ces enjeux.

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Pour y répondre, rendez-vous sur notre page Linkedin ! A vos votes !

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou “Distributed Denial of Service” est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/