Önemli bulgular
- CSCF v2026, güvenlik sınırını genişleterek, mimari türüne bağlı olarak müşteri istemci bağlayıcılarını ( API uç noktaları, ara yazılım ve dosya aktarım istemcileri gibi) 14 kontrolün kapsamına dahil etmiştir.
- CSCF v2027, Temmuz-Aralık 2027 tarihleri arasındaki onay dönemi öncesinde, 32 kontrol maddesiyle (bunlardan 26’sı zorunlu) genişletilmiş kapsamı uygulamaya koymaktadır.
- v2026 sürümünden önceki mimari sınıflandırmalar, müşteri istemci bağlayıcılarının veya kapsamı değiştiren diğer faktörlerin mevcut olduğu durumlarda yeniden değerlendirilmeye ihtiyaç duyabilir; değerlendiriciler, kapsamı genişletilmiş ikinci döngüyü gözden geçireceklerdir
- Genişletilmiş güvenlik çevresi için pratik bir güvenlik ilkesi, dosya ve veri akışlarını kritik ödeme altyapısına ulaşmadan önce denetlemek, temizlemek ve kontrol etmektir.
- Bu akışlar üzerindeki denetim noktaları, kayıt tutma, izleme ve teyit için yararlı kanıtlar sağlayabilir; ancak mevzuata uygunluk, kurumun sorumluluğunda olmaya devam eder
2027 CSCF Değerlendirmesine Hazırlık
Swift ağına bağlı kurumların çoğu, “ Secure ” (CSCF) Bölgesini akıllarından çizebilir: mesajlaşma arayüzü, atlama sunucuları, ödeme trafiğinin yer aldığı güvenli segment. Bu, kurum içindeki en iyi korunan alanlardan bazılarıdır. CSCF v2027, bu bölgeye giden her şeyin ne kadar iyi korunduğunu sorgular.
En büyük değişiklik çoktan gerçekleşti. Temmuz 2025’te yayınlanan CSCF v2026, “Kontrol 2.4: Arka Ofis Veri Akışı Güvenliği”ni aşamalı bir uygulamayla zorunlu hale getirdi ve müşteri istemci bağlayıcılarını 14 kontrolün kapsamına dahil etti.
Mevcut doğrudan arka ofis veri alışverişi uygulamaları şimdilik tavsiye niteliğinde kalırken, zorunlu geçiş için 2028 yılı geçici olarak belirtilmiştir. Mevcut çerçeve, yedi ilke altında 32 güvenlik kontrolünü içermektedir; bunların 26'sı zorunludur ve genişletilmiş kapsam 2027 döngüsüne de taşınmaktadır. Temmuz 2026'da yayınlanan CSCF v2027, yeni zorunlu kontroller eklememekte, ancak bunların çoğunda "Sırlar ve Anahtarlar" ( Vault , SKV) kapsamını genişletmektedir. Danışmanlık kontrolleri, sonraki sürümlerde zorunlu hale gelebilecek tavsiye edilen uygulamalar olarak kalmaktadır. Kurumlar, genişletilmiş kapsam kapsamında ilk kez Temmuz ile Aralık 2026 arasında onay vereceklerdir; v2027 onay dönemi ise bağımsız değerlendirmeyle desteklenerek Temmuz ile Aralık 2027 arasında devam edecektir.
Mimari sınıflandırmanız hâlâ v2026 sürümünden önceye aitse, özellikle son değerlendirmeden bu yana müşteri istemci bağlayıcıları, harici dosya akışları veya yeni entegrasyon yolları devreye alınmışsa, bunu şimdi yeniden değerlendirin. İlk genişletilmiş kapsamlı onay sürecini doğaçlama bir yaklaşımla tamamlamaya çalışan ekipler, 2027 yılında değerlendiricilerin bu sürecin ardındaki çalışmaların planlı ve kasıtlı bir şekilde yürütülmüş olmasını bekleyeceği bir durumla karşı karşıya kalacaklar. Her halükarda asıl soru, güvenlik mimarinizin artık “ Secure ” Bölgesi’nin ötesinde yer alan gelişmelere hazır olup olmadığıdır.
Müşteri istemci bağlayıcıları ve genişletilmiş kapsam
Bir ödeme ortamı, nadiren en sağlam duvarından saldırıya uğrar. Dosyalar ve veriler, müşteri portalları, iş ortaklarının yüklemeleri, yönetilen dosya aktarım platformları, ara yazılım kuyrukları, API entegrasyonları ve veri merkezine getirilen çıkarılabilir ortamlar aracılığıyla Swift ile ilişkili sistemlere ulaşır. Bu kanalların her biri, eski mimari incelemelerinde güvenli bir şekilde kapsam dışı olarak sınıflandırılan altyapıya kötü amaçlı veya güvenilmez içerik taşıyabilir.
Çerçeve artık bu yolları ilgili güvenlik mimarisinin bir parçası olarak ele almaktadır. Müşteri istemci bağlayıcıları, adlarına göre kapsam dahilindedir: API uç noktaları, ara yazılımlar ve dosya aktarım istemcileri; bunlar ister sunucularda ister istemci uç noktalarında çalışıyor olsun. İnceleme, güvenlik güncellemelerinden güvenlik açığı taramasına ve yazılım bütünlüğüne kadar yazılımın kendisine kadar uzanır; böylece şirket içi bağlayıcıların kodları, taşıdıkları dosyalarla aynı incelemeye tabi tutulur.
Mimari sınıflandırmanız v2026 sürümünden önce yapılmışsa, daha önce kapsam dışı olarak değerlendirdiğiniz bileşenler (müşteriye yönelik bir yükleme hizmeti, bir entegrasyon veriyolu veya bir dosya aktarım sunucusu), özellikle bir müşteri istemci bağlayıcısını kullanıyorlarsa veya bu bağlayıcıyı oluşturuyorlarsa, yeniden değerlendirilmeleri gerekebilir.
Swift infografiğimiz, bu giriş noktalarını tek bir sayfada göstermektedir.
Güvenlik yönetimi açısından, riskler iki senaryoya indirgenebilir. Ödeme altyapısına ulaşan kötü amaçlı bir dosya, ödeme işinin kendisinin kullanılabilirliğini tehdit eder; değerlendirme sırasında tespit edilen bir kapsam eksikliği ise yönetim kurulunun bilgisine sunulan, belgelenmiş bir bulgu haline gelir. Her iki sonuç da, bunları önleyecek yeniden değerlendirmenin maliyetinden daha pahalıya mal olur.
Dosya güvenliği, mimari incelemenizin bir parçası olmalıdır
Genişletilmiş kapsamın içerdiği neredeyse her kanal, dosya veya yapılandırılmış verilerin aktarılması amacıyla mevcuttur: müşteriler ve iş ortaklarından gelen yüklemeler, kurumlar arası toplu aktarımlar, ara yazılımdan geçen ekler ve API sınırları üzerinden taşınan dosyalar. Ağ sınırında bulunan tek bir antivirüs motoru, bundan daha dar kapsamlı bir sorun için tasarlanmıştı.
Bu da dosya güvenliğini bir mimari kararı haline getirir. Uygulanabilir bir ilke, dosyaları ve veri akışlarını kritik ödeme altyapısına ulaşmadan önce incelemek, temizlemek ve kontrol etmek; aynı zamanda uygulanan kontrollerin her bir akışa ve ilgili riske uygun olmasını sağlamaktır.
Dosyaların ödeme sistemlerine ulaşmadan önce incelenmesi
Bir iş ortağı, müşteri portalınız aracılığıyla bir fatura grubu yükler. Dosya, yönetilen dosya aktarım platformuna ulaşır; bir ara yazılım kuyruğu tarafından alınır; bir entegrasyon hizmeti içeriği yeniden biçimlendirir ve çıktı, Swift’e bağlı sistemlere yönlendiren bir yol üzerinden bir uygulamaya ulaşır. Harici bir dosyayı kritik ödeme altyapısından ayıran dört aşama vardır ve birçok kurumda her aşama, kendinden önceki aşamaya güvenir.
“İnceleme, temizleme ve kontrol” ilkesini uygulamak, her bir aşamada belirli bir kontrol mekanizması yerleştirmek anlamına gelir. MetaDefender™ Core ve MetaDefender ICAP Server , müşteriye yönelik web uygulamaları üzerinden, REST API veya ICAP entegrasyonu yoluyla yüklenen dosyaları tarar. MetaDefender Managed File Transfer , arka ofis ile Swift ile ilgili sistemler arasında aktarılan içeriği inceler ve Kontrol 2.4, Arka Ofis Veri Akışı Güvenliği standardını destekler.
Her iki dosya da Metascan™ Multiscanning üzerinden yönlendirilir; burada 30’dan fazla kötü amaçlı yazılım önleme motoru paralel olarak tarama yapar. Bu çoklu motorlu tarama, Control 6.1 ve Kötü Amaçlı Yazılım Koruması’nı destekler ve bilinen zararlı içeriği tek bir motordan daha yüksek doğrulukla tespit eder. Deep CDR™ Teknolojisi daha sonra desteklenen her dosyayı temizler ve yeniden oluşturur; dosya daha ileriye gitmeden önce içine gömülü aktif içeriği kaldırır. Şüpheli dosyalar Adaptive Sandbox adresine yönlendirilir; burada emülasyon tabanlı analiz, kaçak ve sıfırıncı gün tehditlerini yakalamaya yardımcı olur ve Control 6.5A, Saldırı Tespiti tavsiyesini destekler.
Aynı uygulama, yedeklemelerin ve ayıklamaların depolandığı depolama alanlarına da uzanır; Proactive DLP™, depolanan dosyaları hassas içerik açısından kontrol eder. Ayrıca, çıkarılabilir ortamları ve geçici cihazları da kapsar; MetaDefender ,Kiosk ve MetaDefender ,Drive adreslerinde yer alan bu cihazlar, sisteme girmeden önce bir kontrol noktasında taranır ve temizlenir; bu da Kontrol 3.1, Fiziksel Güvenlik gerekliliğini destekler.
Kurum içi konektör yazılımı olarak, MetaDefender Software Supply Chain , dağıtım öncesinde paketleri ve bağımlılıkları güvenlik açıkları ve kötü amaçlı bileşenler açısından tarar; bu sayede Kontroller 2.2 (Güvenlik Güncellemeleri), 2.7 (Güvenlik Açığı Taraması) ve 6.2 ( Software 'ın Bütünlüğü) maddelerini destekler.
Sonuç olarak, üzerinden yönlendirilen dosya kanalları genelinde tutarlı bir şekilde uygulanan ve korumak amacıyla kurulduğu sistemlerin ön saflarında yer alan tek bir önleme katmanı ortaya çıkmaktadır.
Değerlendirmenizi destekleyen denetim kayıtları
Temmuz ayında 2027 dönemi başladığında, değerlendiriciler genişletilmiş kapsam kapsamında ikinci teyit döngüsünü inceleyecek ve kontrollerin mevcut olduğu ve etkin bir şekilde işlediği yönündeki kanıtlar, beyan edilen niyetlerden daha fazla ağırlık taşıyacaktır.
Dosya ve veri akışlarınız üzerindeki denetim noktaları, faydalı kanıtlar sağlayabilir: denetim olayları, SIEM sisteminize iletilen denetim izleri ve içeriğin ödeme sistemlerine ulaşana kadar nasıl incelendiğini belgeleyen politika uygulama kayıtları. Bu kanıtlar, Kontrol 6.4 (Günlük Kaydı ve İzleme) ile CSCF onayını destekler.
Uyum, kurumun kendi sorumluluğunda olmaya devam eder ve değerlendiriciler mimariyi bir bütün olarak değerlendirir. Bu çalışmanın ortaya koyduğu şey, değerlendiricinin temel sorusuna verilecek sağlam bir cevaptır: Ödeme altyapınıza neler ulaşabilir ve bu süreçte bunlara ne olur?
Mimarlık ekibinize yönelik üç soru
2027 dönemi öncesinde, aşağıdaki üç soru yararlı bir ilk değerlendirme sağlar:
- Hangi harici dosya ve veri akışları nihai olarak ödeme altyapınıza ulaşabilir?
- Dosyalar, Swift ile ilgili iş akışlarına girmeden önce nasıl denetlenir?
- Genişletilmiş CSCF kapsamı, mevcut mimari sınıflandırmanızı veya denetimlerinizi değiştiriyor mu?
SWIFT CSCF v2027 veri sayfamız, genişletilmiş kapsamı, etkilenen altyapıyı ve ilgili önleyici kontrolleri, mimari ve GRC ekipleriyle paylaşabileceğiniz birkaç sayfada özetlemektedir.
SWIFT CSCF v2027 ürün broşürünü indirin
Kendi ortamınızda gezintiye çıkmayı tercih ediyorsanız, OPSWAT adresindeki bir uzmanla görüşün ve mevcut mimari sınıflandırmanızı yanınızda getirin.
