Conclusiones clave
- La versión v2026 del CSCF ya ha ampliado el perímetro, incluyendo los conectores de los clientes (como los terminales de API , el middleware y los clientes de transferencia de archivos) en el ámbito de aplicación de 14 controles, en función del tipo de arquitectura.
- La versión v2027 de la CSCF amplía el alcance con 32 controles, 26 de ellos obligatorios, de cara al periodo de certificación comprendido entre julio y diciembre de 2027.
- Es posible que sea necesario reevaluar las clasificaciones de arquitectura anteriores a la versión 2026 cuando existan conectores de clientes u otros factores que modifiquen el alcance; los evaluadores revisarán el segundo ciclo de ampliación del alcance.
- Un principio de seguridad práctico para el perímetro ampliado consiste en inspeccionar, depurar y controlar los archivos y los flujos de datos antes de que lleguen a la infraestructura crítica de pagos.
- Los puntos de inspección a lo largo de esos flujos pueden aportar información útil para el registro, el seguimiento y la certificación, aunque el cumplimiento sigue siendo responsabilidad de la institución.
Preparación para la evaluación del CSCF de 2027
La mayoría de las entidades conectadas a Swift pueden definir su « Secure Zone» a partir de la memoria: la interfaz de mensajería, los servidores de enlace y el segmento reforzado donde se gestiona el tráfico de pagos. Se trata de uno de los ámbitos mejor protegidos de la organización. La norma CSCF v2027 se pregunta hasta qué punto está protegido todo lo que conduce a ella.
El cambio más importante ya se ha producido. La versión CSCF v2026, publicada en julio de 2025, estableció la obligatoriedad del control 2.4, «Seguridad del flujo de datos de back-office», mediante una implantación por fases, e incluyó los conectores de clientes en el ámbito de aplicación de 14 controles.
Los intercambios de datos directos de back-office heredados siguen teniendo carácter orientativo por el momento, y se ha señalado provisionalmente el año 2028 como fecha para una futura transición obligatoria. El marco actual cuenta con 32 controles de seguridad repartidos en siete principios, 26 de los cuales son obligatorios, y el alcance ampliado se mantiene en el ciclo de 2027. La versión CSCF v2027, publicada en julio de 2026, no añade nuevos controles obligatorios, pero incorpora el « Vault » (SKV) de secretos y claves en el alcance de la mayoría de ellos. Los controles de carácter consultivo siguen siendo prácticas recomendadas que podrían pasar a ser obligatorias en versiones posteriores. Las instituciones están realizando su certificación con respecto al ámbito de aplicación ampliado por primera vez entre julio y diciembre de 2026, y el plazo de certificación de la v2027 se extiende de julio a diciembre de 2027, con el respaldo de una evaluación independiente.
Si la clasificación de tu arquitectura sigue siendo anterior a la versión 2026, reevalúala ahora, sobre todo si desde la última evaluación se han introducido conectores de clientes, flujos de archivos externos o nuevas vías de integración. Los equipos cuya primera certificación de alcance ampliado se está llevando a cabo de forma improvisada se enfrentan a un 2027 en el que los evaluadores esperan que el trabajo subyacente parezca planificado. En cualquier caso, la cuestión es si tu arquitectura de seguridad está preparada para lo que ahora se encuentra más allá de la zona « Secure ».
Conectores de clientes y el alcance ampliado
Es muy raro que un entorno de pagos sea objeto de un ataque a través de su punto más fuerte. Los archivos y los datos llegan a los sistemas relacionados con Swift a través de portales de clientes, cargas de socios, plataformas de transferencia gestionada de archivos, colas de middleware, integraciones de « API » y soportes extraíbles que se introducen en el centro de datos. Cada uno de esos canales puede hacer llegar contenido malicioso o no fiable a una infraestructura que, según las revisiones de arquitecturas anteriores, se consideraba fuera del ámbito de riesgo.
El marco considera ahora estas rutas como parte de la arquitectura de seguridad pertinente. Los conectores de los clientes se incluyen en el ámbito de aplicación por su nombre: puntos finales de API , middleware y clientes de transferencia de archivos, tanto si se ejecutan en servidores como en puntos finales de clientes. El escrutinio se extiende al propio software, desde las actualizaciones de seguridad y el análisis de vulnerabilidades hasta la integridad del software, sometiendo el código de los conectores internos al mismo examen que los archivos que transportan.
Si la clasificación de tu arquitectura es anterior a la versión 2026, es posible que debas volver a evaluar los componentes que antes considerabas fuera del ámbito de aplicación (un servicio de carga de datos orientado al cliente, un bus de integración o un servidor de transferencia de archivos), especialmente cuando utilicen o constituyan un conector de cliente.
Nuestra infografía de Swift muestra estos puntos de acceso en una sola página.
Para los responsables de seguridad, lo que está en juego se resume en dos escenarios. Un archivo malicioso que llega a la infraestructura de pagos amenaza la disponibilidad del propio negocio de pagos, y una laguna en el alcance detectada durante la evaluación se convierte en un hallazgo documentado del que tiene conocimiento el consejo de administración. Cualquiera de estos resultados supone un coste mayor que el de la reevaluación que lo evita.
La seguridad de los archivos debe formar parte de la revisión de tu arquitectura
Casi todos los canales que abarca este ámbito ampliado tienen como finalidad el traslado de archivos o datos estructurados: subidas de archivos por parte de clientes y socios, transferencias por lotes entre instituciones, archivos adjuntos que atraviesan el middleware y archivos que cruzan los límites de l API . Un único motor antivirus situado en el perímetro de la red se diseñó para resolver un problema más limitado que este.
Esto convierte la seguridad de los archivos en una decisión de arquitectura. Un principio práctico consiste en inspeccionar, depurar y controlar los archivos y los flujos de datos antes de que lleguen a la infraestructura crítica de pagos, garantizando al mismo tiempo que los controles aplicados sean adecuados para cada flujo y su nivel de riesgo.
Comprobación de los archivos antes de que lleguen a los sistemas de pago
Un socio sube un lote de facturas a través de tu portal de clientes. El archivo llega a una plataforma de transferencia gestionada de archivos, una cola de middleware lo recoge, un servicio de integración reformatea el contenido y el resultado llega a una aplicación con una ruta hacia los sistemas conectados a Swift. Cuatro pasos separan un archivo externo de la infraestructura crítica de pagos y, en muchas instituciones, cada paso confía en el anterior.
La aplicación del principio de «inspección, saneamiento y control» implica establecer un control específico en cada etapa del proceso. MetaDefender™ Core y MetaDefender ICAP Server analizan los archivos subidos a través de aplicaciones web orientadas al cliente, mediante la integración REST API o ICAP . MetaDefender Managed File Transfer inspecciona el contenido que circula entre los sistemas de back-office y los relacionados con Swift, cumpliendo con el requisito de control 2.4, «Seguridad del flujo de datos de back-office».
Ambos envían los archivos a Metascan™ Multiscanning, donde más de 30 motores antimalware realizan análisis en paralelo. Este análisis multimotor es compatible con Control 6.1 y Malware Protection, y detecta contenido malicioso conocido con mayor precisión que cualquier motor individual. A continuación, la tecnología Deep CDR™ desinfecta y regenera cada archivo compatible, eliminando el contenido activo incrustado antes de que el archivo continúe su recorrido. Los archivos sospechosos se envían a Adaptive Sandbox , donde el análisis basado en emulación ayuda a detectar amenazas evasivas y de día cero, cumpliendo con la recomendación Control 6.5A, «Detección de intrusiones».
Este mismo tratamiento se extiende a los repositorios de almacenamiento donde se guardan las copias de seguridad y los extractos, ya que Proactive DLP™ comprueba si los archivos en reposo contienen información confidencial. También abarca los soportes extraíbles y los dispositivos transitorios, que MetaDefender ,Kiosk y MetaDefender ,Drive analizan y depuran en un punto de control antes de su entrada, lo que cumple con el requisito 3.1 de «Seguridad física».
En el caso del software de conectores interno, MetaDefender ,Software ySupply Chain analizan los paquetes y las dependencias en busca de vulnerabilidades y componentes maliciosos antes de su implementación, lo que cumple con los controles 2.2 («Actualizaciones de seguridad»), 2.7 («Análisis de vulnerabilidades») y 6.2 («Integridad de Software »).
El resultado es una capa de prevención que se aplica de forma coherente a todos los canales de archivos que pasan por ella, situada antes de los sistemas a los que está destinada a proteger.
Registros de inspección que respaldan tu evaluación
Cuando se abra el plazo de 2027 en julio, los evaluadores revisarán el segundo ciclo de certificación con arreglo al ámbito de aplicación ampliado, y las pruebas de que los controles existen y funcionan de manera eficaz tendrán más peso que las intenciones declaradas.
Los puntos de inspección a lo largo de los flujos de archivos y datos pueden generar pruebas útiles: eventos de inspección, registros de auditoría remitidos a su SIEM y registros de aplicación de políticas que documentan cómo se examina el contenido en su recorrido hacia los sistemas de pago. Dichas pruebas respaldan el Control 6.4, «Registro y supervisión», y la propia certificación del CSCF.
El cumplimiento normativo sigue siendo responsabilidad de la propia institución, y los evaluadores analizan la arquitectura en su conjunto. El resultado de este trabajo es una respuesta fundamentada a la pregunta fundamental del evaluador: ¿qué puede acceder a tu infraestructura de pagos y qué le ocurre a esa información durante el proceso?
Tres preguntas para tu equipo de arquitectura
Hay tres preguntas que resultan útiles para hacer un primer análisis de cara al periodo de 2027:
- ¿Qué archivos externos y flujos de datos pueden llegar finalmente a tu infraestructura de pagos?
- ¿Cómo se revisan los archivos antes de que entren en los flujos de trabajo relacionados con Swift?
- ¿El alcance ampliado del CSCF modifica tu clasificación arquitectónica actual o tus controles?
Nuestra ficha técnica de SWIFT CSCF v2027 resume el alcance ampliado, la infraestructura afectada y los controles preventivos pertinentes en unas pocas páginas que puedes compartir con los equipos de arquitectura y de GRC.
Descargar la ficha técnica de SWIFT CSCF v2027
Si prefieres recorrer tu propio entorno, habla con un experto de OPSWAT y trae contigo la clasificación actual de tu arquitectura.
