إطار سويفت لأمن العملاء 2026: هل مؤسستكم جاهزة للمصادقة السنوية؟
قد تكون بيئة سويفت لديكم مستقرة وتعمل دون انقطاع، لكن ذلك لا يعني بالضرورة أن الضوابط المطبقة ما زالت متوافقة مع أحدث المتطلبات الأمنية. ففي مواجهة تهديدات سيبرانية تتغير باستمرار، قد تتحول ثغرة في جهاز مشغّل، أو تدفق بيانات مع نظام خلفي، أو خدمة مسندة إلى طرف خارجي إلى نقطة دخول تؤثر في سلامة المعاملات المالية.
لهذا تواصل سويفت تحديث برنامج أمن العملاء (CSP) وإطار ضوابط أمن العملاء (CSCF) سنوياً. وحتى أغسطس 2026، يمثل CSCF v2026 الإصدار المطبق على مصادقات عام 2026، ويتضمن ضوابط إلزامية وأخرى استشارية بحسب نوع بنية الاتصال لدى كل مستخدم.
ما هو برنامج أمن العملاء لدى سويفت؟
أُطلق برنامج أمن العملاء عام 2017 لتعزيز أمن البيئات المحلية المتصلة بسويفت ودعم التعاون على مستوى القطاع لمواجهة الهجمات السيبرانية والاحتيال.
ويحدد إطار ضوابط أمن العملاء خط الأساس الأمني لمستخدمي سويفت؛ فالضوابط الإلزامية يجب تطبيقها، بينما تمثل الضوابط الاستشارية ممارسات موصى بها قد تصبح إلزامية مستقبلاً مع تطور المخاطر والتقنيات والمتطلبات الرقابية.
يحتفظ الإطار بثلاثة أهداف رئيسية:
- تأمين بيئة العمل والذي يشمل تقييد الوصول إلى الإنترنت، وعزل الأنظمة الحرجة، وتقليل سطح الهجوم، وتأمين البيئة المادية.
- معرفة الوصول وتقييده من خلال حماية بيانات الاعتماد، وإدارة الهويات، والفصل بين الصلاحيات.
- الكشف والاستجابة من خلال مراقبة الأنشطة غير الاعتيادية والاستعداد للحوادث وتبادل المعلومات.
وتتوافق تعريفات الضوابط مع مراجع أمن معلومات معترف بها، من بينها ISO 27002 وPCI DSS وSOC 2 وإطار NIST للأمن السيبراني.
كما يعتمد نطاق الضوابط على نوع بنية الاتصال؛ لذلك يتعين على المؤسسة تحديد أي من أنواع البنية المرجعية الخمسة ينطبق على بيئتها قبل تحديد نطاق التقييم.
ماذا يعني إصدار CSCF v2026 عملياً؟
لا ينبغي التعامل مع إصدار 2026 على أنه تحديث وثائقي فقط؛ إذ يمتد تأثيره العملي إلى جودة تصميم الضوابط وفاعلية تشغيلها والأدلة التي تثبت ذلك. ومن المجالات التي تستحق اهتماماً خاصاً:
-
أمن تدفقات بيانات الأنظمة الخلفية:
حماية البيانات المتبادلة بين واجهات سويفت والأنظمة الخلفية من الإفصاح أو التعديل أو الوصول غير المصرح به، باستخدام آليات تحقق وتشفير مناسبة.
-
ضوابط معاملات الأعمال
تطبيق قيود قابلة للضبط، مثل مبدأ العيون الأربع، وساعات تنفيذ المعاملات، وحدود المبالغ، والجهات المقابلة، وإجراءات المطابقة اليومية أو خلال اليوم.
-
تقوية الأنظمة والتطبيقات
ضبط إعدادات الأنظمة والتطبيقات، وإدارة التحديثات والثغرات، وتقليل الخدمات والمنافذ غير الضرورية.
-
إدارة الأطراف الخارجية
التأكد من أن الأنشطة الحرجة المسندة إلى مزودي الخدمات تُنفذ وفق متطلبات أمنية واضحة، مع احتفاظ المؤسسة برقابة فعالة وأدلة كافية.
-
الاختبارات والاستجابة
ربط نتائج اختبارات الاختراق والمراقبة الفنية بإجراءات معالجة قابلة للتتبع، مع تحديث خطط الاستجابة للحوادث واختبارها دورياً.
وتؤكد سويفت أن الوثائق الصادرة عنها باللغة الإنجليزية تمثل النسخة الرسمية والملزمة. لذلك يجب الرجوع إلى أحدث إصدار من الإطار وإلى إرشادات أمن المنتجات ذات الصلة عند تحديد التطبيق الفني لكل ضابط.
التقييم المستقل والمصادقة السنوية
لم يعد التقييم المستقل خطوة اختيارية تسبق المصادقة؛ إذ يتعين التحقق بصورة مستقلة من تطبيق الضوابط الإلزامية ذات الصلة بنوع البنية، ثم تقديم المصادقة السنوية عبر تطبيق KYC-Security Attestation.
ووفق دورة سويفت المنشورة، تمتد فترة تقديم المصادقة من 1 يوليو إلى 31 ديسمبر من سنة التطبيق.
وقد يكون التقييم داخلياً، بشرط توافر الاستقلال والكفاءة المناسبة، أو خارجياً بواسطة جهة تقييم مؤهلة. كما تجيز سويفت الاعتماد على تقييم الدورة السابقة لمرة واحدة فقط، بشرط:
- موافقة المقيّم المستقل؛
- عدم حدوث تغييرات جوهرية في نطاق بيئة سويفت؛ و
- عدم وجود ضوابط إلزامية جديدة أو معدلة لم يشملها التقييم السابق.
ولا يتحقق الاستقلال بمجرد فصل أسماء الفرق؛ بل يتطلب ابتعاد المقيّم عن تصميم الضوابط وتنفيذها وإعداد المصادقة، إلى جانب الاستناد إلى أدلة حديثة ومحددة وقابلة للتتبع.
متطلبات تخص الجهات الخاضعة لرقابة بنك الكويت المركزي
إلى جانب متطلبات سويفت المطبقة على مستخدميها عالمياً، تخضع بعض المؤسسات العاملة في دولة الكويت لمتطلبات محلية إضافية صادرة عن بنك الكويت المركزي.
ففي ديسمبر 2025، أصدر بنك الكويت المركزي إطار المرونة السيبرانية والتشغيلية للبنوك والمؤسسات المالية المحلية (CORF)، الذي حدّث إطار الأمن السيبراني الصادر عام 2020. ويطبق الإطار على الجهات الخاضعة لرقابة البنك المركزي، وفق نطاق أنشطتها وتراخيصها، ومنها البنوك الكويتية والبنوك الأجنبية العاملة في دولة الكويت؛ شركات الصرافة؛ شركات التمويل؛ شركات الدفع الإلكتروني للأموال؛ وشركات المعلومات الائتمانية.
ويلزم الضابط 4.3.1.2 من إطار المرونة السيبرانية والتشغيلية الجهات الخاضعة بتطبيق أحدث الإصدارات السارية من الممارسات والمعايير ذات الصلة، ومن بينها برنامج أمن العملاء لدى سويفت. كما يلزم الضابط 4.3.1.3 هذه الجهات باستكمال المصادقة الخاصة بإطار ضوابط أمن العملاء، وتقديم ما يثبت الالتزام إلى بنك الكويت المركزي عند الطلب أو وفق الفترات التي يحددها.
ويتطلب إطار المرونة السيبرانية والتشغيلية أيضاً الاحتفاظ بسجل محدث للمتطلبات الرقابية والمعايير المطبقة، ومراجعته مرة واحدة سنوياً على الأقل.
أما المؤسسات التي لا تخضع لرقابة بنك الكويت المركزي، فلا تمثل متطلبات إطار المرونة السيبرانية والتشغيلية التزاماً رقابياً مباشراً عليها، وإن كان من الممكن الاسترشاد بها لتعزيز المرونة السيبرانية والتشغيلية.
كيف تستعد مؤسستكم؟
ابدؤوا بتأكيد نوع البنية والمكونات الواقعة ضمن النطاق، ثم اربطوا كل ضابط إلزامي بالمالك المسؤول والدليل المطلوب. وبعد ذلك:
- نفذوا تحليلاً للفجوات.
- عالجوا الملاحظات المكتشفة.
- اختبروا فاعلية تشغيل الضوابط.
- تحققوا من اكتمال الأدلة وجودتها.
- استكملوا التقييم المستقل قبل موعد المصادقة بوقت كافٍ.
- بالنسبة للجهات الخاضعة لرقابة بنك الكويت المركزي، اربطوا متطلبات CSCF بضوابط إطار المرونة السيبرانية والتشغيلية وسجل الالتزام والتقييمات الرقابية ذات الصلة.
فالاستعداد المبكر يقلل مخاطر ظهور فجوات جوهرية في نهاية العام، ويجعل المصادقة نتيجة لبرنامج أمني فعّال، لا مجرد تمرين امتثال سنوي.
هل ستصمد أدلة مؤسستكم لعام 2026 أمام التقييم المستقل؟
تساعد بيكر تلي الكويت المؤسسات على تحديد نطاق CSCF المطبق، وإجراء تحليل الفجوات، وتقييم تصميم الضوابط وفاعلية تشغيلها، والتحقق من جودة الأدلة، والاستعداد للمصادقة السنوية.
وبالنسبة للجهات الخاضعة لرقابة بنك الكويت المركزي، يمكن مواءمة أنشطة الجاهزية مع المتطلبات ذات الصلة ضمن إطار المرونة السيبرانية والتشغيلية، مع مراعاة متطلبات الاستقلال والاعتماد الخاصة بكل مهمة.
تواصلوا مع خبراء بيكر تلي الكويت لبدء تقييم جاهزية مؤسستكم قبل الموعد النهائي للمصادقة.
يرجى الاتصال بإدارة تطوير الأعمال، هاتف: +965 1887 799 داخلي رقم: 335 وسوف نحدد لكم موعد اجتماع لمزيد من المناقشة.