SWIFT CSP 2026 : ce qui change dans le référentiel - Partie 1

Derrière les évolutions les plus visibles, notamment le passage du contrôle 2.4 « Back Office Data Flow Security » au statut mandatory, l'élargissement massif du périmètre des Customer Client Connectors (CCC) et le renforcement progressif des exigences MFA (multi-factor authentification), se dessine une mutation majeure du modèle SWIFT qui étend progressivement ses exigences de sécurité à l'ensemble de la chaîne de traitement des flux financiers. Les systèmes auparavant considérés comme périphériques deviennent désormais des éléments à sécuriser et à évaluer, ce qui rapproche de nombreuses organisations des exigences associées aux architectures de type A4.

Dans cette première partie, nous analysons les principales évolutions techniques du référentiel : la redéfinition du périmètre, la généralisation des Customer Client Connectors, l'obligation du contrôle 2.4 et le repositionnement des bridging servers. Les implications organisationnelles et stratégiques - MFA transverse, convergence vers l'architecture A4, risques liés à l'IA et démarche d'anticipation - font l'objet de la deuxième partie de cet article.

La fin d'une approche centrée uniquement sur la Secure Zone

Historiquement, le modèle CSP reposait fortement sur la notion de Secure Zone, avec un périmètre relativement contenu autour des composants directement connectés à SWIFT.

Dans de nombreuses architectures de type B, cette approche permettait de limiter les obligations CSP aux seuls composants SWIFT visibles, tout en laissant hors périmètre certains éléments intermédiaires tels que des plateformes de transfert de fichiers, des middleware, des API ou encore certains environnements cloud. Elle apparaît aujourd'hui insuffisante face à l'évolution des menaces ciblant les chaînes de traitement financières.

Le CSCF v2026 confirme ainsi un changement de paradigme : la sécurité ne doit plus uniquement protéger le point d'entrée SWIFT, mais l'ensemble de la chaîne de circulation des flux financiers critiques.

Les Customer Client Connectors : le principal vecteur d'extension du périmètre CSP

L'évolution la plus structurante du CSCF 2026 réside probablement dans la généralisation du concept de Customer Client Connectors (CCC).

Désormais, tout composant permettant une connexion indirecte à SWIFT - via un service provider, une chaîne applicative ou un mécanisme d'intégration - peut être soumis aux exigences CSP.

Cela inclut notamment :

• les clients API ;
• les middleware ;
• les plateformes de transfert ;
• les clients SFTP ;
• les passerelles applicatives ;
• les composants d'intégration ;
• les footprints applicatifs au sein d'environnements mutualisés ou virtualisés.

Ces composants deviennent alors soumis à un ensemble de contrôles critiques du CSCF, notamment :

• contrôle des comptes privilégiés (1.2) ;
• virtualisation et co-hosting (1.3) ;
• restriction des accès Internet (1.4) ;
• patch management (2.2) ;
• hardening (2.3) ;
• sécurisation des sessions (2.6) ;
• vulnerability scanning (2.7) ;
• MFA (4.2) ;
• contrôle des accès logiques (5.1) ;
• protection anti-malware (6.1) ;
• logging et monitoring (6.4).

La conséquence est majeure : de nombreux composants historiquement considérés comme « hors CSP » deviennent désormais des composants critiques au regard du référentiel.

Le cas emblématique des architectures de type B et des clients de transfert de fichiers

Historiquement, les architectures de type B utilisaient, dans la majorité des cas, un client de transfert de fichiers afin de transmettre les messages contenant les transactions à un partenaire connecté à SWIFT (Diapason, Cegid, Kyriba, ...).

Jusqu'au CSCF v2025, les seuls composants généralement considérés dans le périmètre de l'évaluation CSP étaient les postes bureautiques du client SWIFT ainsi que l'interface de gestion des transactions mise à disposition par le partenaire.

Le client de transfert de fichiers lui-même restait fréquemment hors périmètre CSP.

Cette approche change radicalement avec le CSCF 2026.

Désormais, sur la base de la définition des Customer Client Connectors (CCC), si une organisation dispose d'un client de transfert de fichiers permettant l'échange de messages financiers avec son partenaire SWIFT, ce composant est considéré comme un CCC et entre directement dans le périmètre CSP.

Autrement dit, un simple client SFTP, un agent MFT ou un composant de transfert historiquement perçu comme « technique » devient désormais un composant critique soumis aux exigences CSP.

Cette évolution est loin d'être anodine : elle entraîne mécaniquement une extension importante du périmètre de sécurité et impose l'application de nombreux contrôles CSP sur des composants auparavant non évalués.

Le contrôle 2.4 devient obligatoire

Le passage du contrôle 2.4 « Back Office Data Flow Security » au statut mandatory constitue l'un des tournants majeurs du CSCF 2026.

SWIFT impose désormais une sécurisation explicite des flux entre :

• la Secure Zone ;
• les bridging servers ;
• les back-office first hops.

Dans sa première phase obligatoire, cela implique notamment :

• la sécurisation des bridging servers ;
• la protection des flux transitant entre ces composants ;
• la sécurisation des échanges avec la Secure Zone ;
• la maîtrise des nouveaux flux introduits dans l'architecture.

Deux approches principales émergent alors :

1.  Chiffrement de bout en bout des flux - les flux sont sécurisés nativement, limitant l'exposition des composants intermédiaires.

2.  Intégration des intermédiaires dans le périmètre CSP - les composants traversés par les flux doivent alors être intégrés au périmètre de sécurité et soumis aux contrôles CSP applicables.

Dans la pratique, de nombreuses organisations seront contraintes d'adopter ce second modèle, notamment lorsque les flux transitent par des composants mutualisés, des middlewares ou des infrastructures hybrides complexes.

Bridging servers : d'éléments techniques à composants critiques

Le CSCF v2026 repositionne clairement les bridging servers comme des composants centraux de la sécurité des flux financiers.

Ces serveurs intermédiaires deviennent des composants critiques. Ils devront bénéficier d'un niveau de protection renforcé comprenant notamment la segmentation, le contrôle des accès, la supervision de sécurité et la gestion des vulnérabilités. Cette évolution rapproche fortement certaines architectures historiquement classées B des exigences habituellement observées sur des architectures de type A4.

Retrouvez la suite de cette analyse dans notre deuxième article : SWIFT CSP 2026 : ce que ça implique pour votre organisation - Partie 2 

Ces évolutions techniques dessinent une transformation profonde du référentiel SWIFT, dont les conséquences dépassent largement la seule dimension technique. Dans la deuxième partie de cet article, nous examinerons les implications organisationnelles et stratégiques de ces changements : l'extension progressive du MFA à l'ensemble de la chaîne, le basculement quasi systématique vers les architectures A4, les premières références aux risques liés à l'IA, et les raisons pour lesquelles une anticipation dès maintenant est décisive.