SWIFT Müşteri Güvenlik Programı, bankalar arası ödeme mesajlarını taşıyan küresel ağa bağlanan her kurumun karşılaması gereken güvenlik kontrollerini bir çerçeveye bağlar. Program, 2016’da büyük bir bankanın SWIFT terminalinin ele geçirilerek sahte transfer mesajları gönderilmesinin ardından hayata geçti; temel öngörü, ağın kendisi güvenli olsa bile her katılımcının yerel ortamının zayıf halka olabileceğidir.

CSP’nin mantığı basittir: ödeme ağı ancak en zayıf katılımcısı kadar güvenlidir, bu yüzden herkes aynı asgari çıtayı geçmek zorundadır.

Kontrol Çerçevesi Nasıl Yapılanmıştır?

Program, kontrolleri üç temel hedef etrafında toplar: ortamınızı koruyun, erişimi bilin ve sınırlayın, tehdidi tespit edip yanıt verin. Bu hedefler somut ve denetlenebilir maddelere ayrılır; kimileri her katılımcı için zorunlu, kimileri ise tavsiye niteliğindedir. Zorunlu maddeler yıllık olarak öz-değerlendirmeyle beyan edilir ve bağımsız doğrulamaya tabi tutulur.

Ortamın Yalıtılması

Çerçevenin en belirleyici gereksinimi, SWIFT altyapısının kurumun genel bilişim ortamından ayrılmasıdır. Ödeme terminalleri ve ilgili sunucular, kurumsal ağdan Ağ segmentasyonu ile yalıtılmış ayrı bir bölgede tutulur; böylece ofis ağına bulaşan bir zararlı yazılım, doğrudan ödeme sistemine sıçrayamaz. Bu ayrım fiziksel değil mantıksal da olsa, ödeme akışına ulaşan yolların sayısını belirgin biçimde azaltır.

Kimlik ve Yetki Kontrolü

Ödeme mesajı yetkisi kurumun en hassas ayrıcalığıdır, bu yüzden CSP erişimi iki yönden sıkılaştırır. Operatör oturumları Çok faktörlü kimlik doğrulama ile korunur; tek bir parolanın çalınması sistemin ele geçirilmesine yetmez. Ayrıca her kullanıcıya yalnızca görevinin gerektirdiği yetkinin verildiği En az yetki ilkesi uygulanır, böylece ele geçirilen bir hesabın yapabileceği hasar dar tutulur.

Programın bir diğer vurgusu, transfer işleminde görev ayrılığıdır. Bir mesajı hazırlayan ile onaylayan kişilerin farklı olması, tek bir içeriden veya tek bir ele geçirilmiş hesaptan kaynaklanan sahte transferleri engelleyen basit ama güçlü bir kontroldür.

Uyumun Kurumsal Anlamı

CSP beyanı yalnızca bir formalite değildir; eksik beyan eden veya kontrolleri karşılamayan kurumlar, karşı bankalar tarafından riskli görülerek ödeme trafiğinde sorunla karşılaşabilir. Bu yüzden segmentasyon sınırlarının, yetki matrisinin ve terminal yalıtımının gerçekten iddia edildiği gibi çalıştığı bağımsız olarak doğrulanmalıdır. Priva Security’nin Altyapı ve mimari gözden geçirme hizmetimiz, SWIFT ortamının izolasyonunu ve erişim kontrollerini CSP hedefleri açısından denetler.