GRC 9.0: защо последното поколение се казва Embedded GRC – една прогноза

Къде свършва моделът на Rasmussen

Michael Rasmussen описва GRC пазара в поколения. GRC 7.0, „GRC Orchestrate“, за него е настоящето до около 2030 г.: взаимодействие между контекст за вземане на решения (Intelligence), агенти с ясно уредени правомощия (Action) и възможности, които бизнес звената изграждат сами (Configuration). За периода от около 2030 г. той скицира GRC 8.0, „Quantum GRC“: цифрови близнаци на организацията, с които организациите разиграват възможни бъдещи сценарии, преди да решат – той го нарича „Risk Holodeck“. GRC 20/20 Модела разгледахме подробно в GRC 7.0: какво означава GRC Orchestrate на Michael Rasmussen за организациите.

След това моделът свършва. Поколение 9.0 Rasmussen не описва и доколкото знаем, никой друг също не го е дефинирал.

Тази статия запълва празнината със собствена оценка. Важно е да го кажем предварително: това, което следва, не е аналитичен модел и не е обобщение на чужди изследвания, а нашата обоснована прогноза – изведена от развития, които са доказуеми още днес. Накрая посочваме възраженията, които говорят против нея.

Един въпрос подрежда всички поколения

Ако прочетем поколенията от 1.0 до 8.0 едно след друго, по същество те отговарят на един и същ въпрос: Къде се осъществява управлението?

Ако следваме тази линия, липсва точно едно място: самата система. Не GRC инструмент редом с бизнеса, а управление като свойство на системите, които движат бизнеса.

Нашата теза: GRC 9.0 е Embedded GRC

Очакваме следващото поколение да започне от около 2035 г. и да има три характеристики.

Съответствието става свойство на системите

Днес екипите доказват впоследствие, че системите изпълняват изискванията: събират екранни снимки, експортират отчети, попълват одитни шаблони. В следващото поколение приложенията идват на бял свят с машинночетими ангажименти за контролите, а доказателството възниква по време на работа като страничен продукт. Градивните елементи за това съществуват: OSCAL описва изисквания, контроли и оценки в машинночетим вид (вижте Какво е OSCAL?), FedRAMP вече приема пакети в този формат (вижте FedRAMP преминава към машинночетими данни), SBOM и CBOM описват софтуерните и криптографските компоненти. Тогава одитът проверява системата, която създава доказателствата, и нейната конфигурация – а не вече хиляда отделни доказателства.

Доверието се обменя машинно между организациите

Оценката на доставчици днес означава: да разпратиш въпросници, да архивираш отговорите, да повтаряш всяка година. NIS2 и DORA вече задължават веригите на доставки – с управление на риска и договорни ангажименти – а Cyber Resilience Act въвежда от края на 2027 г. машинночетими SBOM като документация на производителя. Следващата стъпка е предвидима: доставчикът доказва дадена контрола веднъж, криптографски подписано, а всички клиенти приемат доказателството машинно. Въпросникът не умира от забрана, а от собствената си излишност.

Оскъдният ресурс е отговорността

Собствената ключова теза на Rasmussen за GRC 7.0 гласи: ИИ прави софтуерните функции евтини; ценни стават надеждната информация, контекстът и отговорността. Домислено докрай, това означава: когато агентите оценяват, симулират и изпълняват, като човешко ядро остава точно една задача – да се реши кой за какво отговаря и какъв риск организацията съзнателно носи. Затова System of Record на следващото поколение вече не е архив от документи, а регистър на решения и правомощия.

Защо от 2035 г.

Една година в прогноза е уязвима, затова я обосноваваме двойно.

Първо, ритъмът на самия модел: GRC 7.0 според Rasmussen тече от 2025 до 2030 г., GRC 8.0 започва около 2030 г. По-новите поколения продължават около пет години, следователно следващото би започнало около 2035 г.

Второ, регулациите независимо от това сочат към същата година. До 2035 г. преходът към постквантова криптография в целия ЕС трябва да е до голяма степен завършен, а проектът на NIST IR 8547 извежда RSA и ECC от употреба след 2035 г. (сроковете в подробности: Постквантова криптография: сроковете 2026, 2030 и 2035 г. и кое от тях е задължително). По пътя дотам повсеместно възникват криптографски инвентари, CBOM и машинночетими доказателства – като настойчива препоръка на пътната карта на ЕС и на германските насоки, за субектите по NIS2 правно подкрепени и чрез изискването за съвременно техническо ниво. Значи точно инфраструктурата, която Embedded GRC предполага, възниква в момента – не от визия, а тласкана от регулацията.

По-точни от „от около 2035 г.“ не искаме да бъдем. Да снабдим прогноза за осем години напред с година, точна до единица, би било привидна точност.

Две възражения, които приемаме сериозно

Възражението за холодека. GRC 8.0 предполага качество на данните, което много организации днес не постигат дори за своя криптографски инвентар – който пътната карта на ЕС предвижда до края на 2026 г. и който на много места тепърва възниква. Затова очакваме симулацията първо да се наложи в тесни, добре моделируеми области, например сценарии за веригата на доставки или за прекъсвания, а не като близнак на цялата организация. Който днес разпределя бюджет, е по-добре да го вложи в качество на данните, отколкото в инструменти за симулация.

Контратезата: раздробяване вместо сливане. Може да се случи и другояче. Регулациите в момента растат по-бързо от тяхната хармонизация: Актът за изкуствения интелект, DORA, NIS2, Cyber Resilience Act и националните особени пътища поставят всеки свои изисквания със собствени канали за докладване. Вместо конвергентна дисциплина отново биха могли да възникнат силози по правни области – този път всеки със собствени агенти. Това би било GRC 1.0 на по-високо ниво. Коя от двете посоки ще надделее, ще се реши от това дали машинночетимите формати ще станат общи за различните правни области, или всяка регулация ще има свои.

Какво върши работа още днес

Практичното в тази прогноза е: подготовката е една и съща, независимо дали тя ще се сбъдне. Който още днес поддържа изискванията, мерките и доказателствата структурирано и в машинночетим вид, е правилно подготвен и за двете посоки – за Embedded GRC при всички случаи, а в един раздробен свят структурираният фонд е единственият реалистичен шанс няколко правни области да се обслужат без многократна работа. Същото важи за разграничаването на правомощията: който днес записва какво може да предлага един агент и какво трябва да реши човек, изгражда регистъра на решенията, който по-късно ще образува ядрото.

Затова с категорията GRC не изчезва работата. Измества се това, което хората правят: по-малко събиране на доказателства, повече вземане на решения и носене на отговорност за тях.

Заключение

Нашата прогноза в едно изречение: GRC 9.0 започва около 2035 г., по същество се казва Embedded GRC – управление като свойство на системите, федерирано доверие между организациите, отговорността като последна човешка инстанция – и е последното поколение, защото след това управлението вече не е самостоятелна категория. Сигурно в това не е нищо освен посоката на инфраструктурата: машинночетимите изисквания, инвентари и доказателства се налагат, тласкани от регулацията. Дали от това ще излезе сливане или раздробяване, е открит въпрос. Подготовката и в двата случая е една и съща.

Източници

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, октомври 2026 г.)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 октомври 2026 г.)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream на NIS Cooperation Group, юни 2025 г.)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 ноември 2024 г.)