SWIFT CSP（Customer Security Programme）

将来的なサイバー攻撃

CSPは、相互に補強し合う以下3つの分野を対象としています。

1. 自社環境のセキュリティ強化（You）
2. 取引関係先における不正の防止と検出（Your Counterparts）
3. 他社と協同で情報共有し、将来のサイバー脅威に備える（Your Community）

SWIFT Customer Security Controls Framework （CSCF）

SWIFTはサイバーセキュリティ管理プログラムの一環として2017年にCSCFを策定し、金融機関や事業会社等すべてのSWIFTユーザに対して、定期的にサイバーセキュリティ管理状況を評価することを要請しています。

最新のCSCFであるCSCF v2021において、SWIFTユーザが日々直面するサイバー脅威のリスクを低減するための「3つの目的」と「8つの原則」を支える31のセキュリテコントロール項目が定められています。31項目のうち、22が必須項目、9が推奨項目です。

CSCF評価タイプと適用時期

CSPでは、第一線防衛であるSWIFTユーザーが「自己検証」を実施することとしていますが、2021年以降は「コミュニティ標準検証」が全ユーザー必須となります。

また、2021年よりすべてのユーザーはコミュニティ標準検証が必須となり、CSCF v2021に基づいて独立検証を受ける必要があります。独立検証は次のいずれのかにより実施することが求められています。（詳細は「2020年6月SWIFTから公表された情報に関する変更点」参照）

1. 独立外部検証
   サイバーセキュリティ評価の経験を有する外部独立機関によるもの、及びセキュリティ業界の認定を有する個人検証者によるもの。
2. 独立社内検証　　
   ユーザーの第2もしくは第3線機能（コンプライアンス、リスクマネジメント、内部監査　等）、もしくは検証結果を提出した第 1 線機能から独立した機能的同等な部門（CISO オフィス　等）、あるいはその部門と機能的同等な部門。検証作業者は、直近のサイバーセキュリティ評価に関連する経験を有する必要がある。
    

2020年6月SWIFTから公表された情報に関する変更点

SWIFTが2020年6月にCSCFの検証サイクルの調整を公表し、独立検証の実施要否やCSCFの適用タイミング等が変更されました。