GRC 9.0: γιατί η τελευταία γενιά ονομάζεται Embedded GRC – μια πρόβλεψη

Πού τελειώνει το μοντέλο του Rasmussen

Ο Michael Rasmussen περιγράφει την αγορά GRC σε γενιές. Το GRC 7.0, το «GRC Orchestrate», είναι για εκείνον το παρόν, έως το 2030 περίπου: μια συνεργασία πλαισίου απόφασης (Intelligence), πρακτόρων με σαφώς ρυθμισμένες αρμοδιότητες (Action) και δυνατοτήτων που αναπτύσσουν τα ίδια τα τμήματα (Configuration). Για την περίοδο από το 2030 περίπου σκιαγραφεί το GRC 8.0, το «Quantum GRC»: ψηφιακά δίδυμα της επιχείρησης, με τα οποία οι οργανισμοί δοκιμάζουν πιθανές μελλοντικές εκβάσεις πριν αποφασίσουν – το ονομάζει «Risk Holodeck». GRC 20/20 Το μοντέλο στις λεπτομέρειές του το έχουμε αναλύσει στο GRC 7.0: τι σημαίνει το GRC Orchestrate του Michael Rasmussen για τους οργανισμούς.

Εκεί το μοντέλο τελειώνει. Μια γενιά 9.0 ο Rasmussen δεν την περιγράφει, και, απ' όσο γνωρίζουμε, δεν την έχει ορίσει ούτε κανείς άλλος.

Αυτό το άρθρο γεμίζει το κενό με μια δική μας εκτίμηση. Είναι σημαντικό να το πούμε εξαρχής: ό,τι ακολουθεί δεν είναι μοντέλο αναλυτή ούτε σύνοψη ξένης έρευνας, αλλά η δική μας τεκμηριωμένη πρόβλεψη – συναγόμενη από εξελίξεις που ήδη σήμερα μπορούν να τεκμηριωθούν. Στο τέλος κατονομάζουμε τις ενστάσεις που συνηγορούν εναντίον της.

Ένα ερώτημα ταξινομεί όλες τις γενιές

Αν διαβάσει κανείς τις γενιές 1.0 έως 8.0 τη μία μετά την άλλη, απαντούν κατά βάθος στο ίδιο ερώτημα: πού λαμβάνει χώρα η διακυβέρνηση;

Αν ακολουθήσει κανείς αυτή τη γραμμή, υπάρχει ακριβώς ένας τόπος που λείπει ακόμη: το ίδιο το σύστημα. Όχι ένα εργαλείο GRC δίπλα στην επιχειρηματική δραστηριότητα, αλλά η διακυβέρνηση ως ιδιότητα των συστημάτων που λειτουργούν την επιχείρηση.

Η θέση μας: το GRC 9.0 είναι το Embedded GRC

Αναμένουμε ότι η επόμενη γενιά θα ξεκινήσει από το 2035 περίπου και θα έχει τρία χαρακτηριστικά.

Η συμμόρφωση γίνεται ιδιότητα των συστημάτων

Σήμερα οι ομάδες αποδεικνύουν εκ των υστέρων ότι τα συστήματα πληρούν τις απαιτήσεις: συλλέγουν στιγμιότυπα οθόνης, εξάγουν αναφορές, συμπληρώνουν πρότυπα ελέγχου. Στην επόμενη γενιά οι εφαρμογές έρχονται στον κόσμο με μηχαναγνώσιμες δεσμεύσεις δικλίδων, και το τεκμήριο δημιουργείται κατά τη λειτουργία, ως παραπροϊόν. Τα δομικά στοιχεία γι' αυτό υπάρχουν: το OSCAL περιγράφει απαιτήσεις, δικλίδες και αξιολογήσεις σε μηχαναγνώσιμη μορφή (βλ. Τι είναι το OSCAL;), το FedRAMP δέχεται ήδη φακέλους σε αυτή τη μορφή (βλ. Το FedRAMP γίνεται μηχαναγνώσιμο), τα SBOM και τα CBOM περιγράφουν τα συστατικά λογισμικού και κρυπτογραφίας. Ένας έλεγχος εξετάζει τότε το σύστημα που παράγει τα τεκμήρια και τη διαμόρφωσή του – όχι πλέον χίλια μεμονωμένα αποδεικτικά.

Η εμπιστοσύνη ανταλλάσσεται μηχανικά μεταξύ οργανισμών

Η αξιολόγηση προμηθευτών σημαίνει σήμερα: αποστολή ερωτηματολογίων, αρχειοθέτηση απαντήσεων, ετήσια επανάληψη. Η NIS2 και ο DORA επιβάλλουν ήδη υποχρεώσεις στις εφοδιαστικές αλυσίδες, με διαχείριση κινδύνων και συμβατικές δεσμεύσεις, και ο Cyber Resilience Act φέρνει από τα τέλη του 2027 μηχαναγνώσιμα SBOM ως τεκμηρίωση κατασκευαστή. Το επόμενο βήμα είναι προβλέψιμο: ένας προμηθευτής τεκμηριώνει μια δικλίδα μία φορά, με κρυπτογραφική υπογραφή, και όλοι οι αποδέκτες παραλαμβάνουν το τεκμήριο μηχανικά. Το ερωτηματολόγιο δεν πεθαίνει από κάποια απαγόρευση, αλλά επειδή γίνεται περιττό.

Ο σπάνιος πόρος είναι η ευθύνη

Η κεντρική θέση του ίδιου του Rasmussen για το GRC 7.0 λέει: η ΤΝ κάνει τις λειτουργίες λογισμικού φθηνές· πολύτιμες γίνονται η αξιόπιστη πληροφόρηση, το πλαίσιο και η ευθύνη. Αν το σκεφτεί κανείς ως το τέλος, αυτό σημαίνει: όταν οι πράκτορες αξιολογούν, προσομοιώνουν και εκτελούν, ως ανθρώπινος πυρήνας απομένει ακριβώς ένα καθήκον – να αποφασίζεται ποιος ευθύνεται για τι και ποιον κίνδυνο αναλαμβάνει συνειδητά ένας οργανισμός. Το System of Record της επόμενης γενιάς δεν είναι γι' αυτό πλέον αρχείο εγγράφων, αλλά μητρώο αποφάσεων και αρμοδιοτήτων.

Γιατί από το 2035

Μια χρονολογία σε μια πρόβλεψη είναι ευάλωτη, γι' αυτό την αιτιολογούμε διπλά.

Πρώτον, ο ρυθμός του ίδιου του μοντέλου: το GRC 7.0 διαρκεί κατά τον Rasmussen από το 2025 έως το 2030, το GRC 8.0 ξεκινά γύρω στο 2030. Οι νεότερες γενιές διαρκούν περίπου πέντε χρόνια, άρα η επόμενη θα ξεκινούσε γύρω στο 2035.

Δεύτερον, η ρύθμιση δείχνει, ανεξάρτητα από αυτό, προς το ίδιο έτος. Έως το 2035 η μετάβαση σε επίπεδο ΕΕ στη μετακβαντική κρυπτογραφία πρέπει να έχει σε μεγάλο βαθμό ολοκληρωθεί, και το σχέδιο NIST IR 8547 αποσύρει τα RSA και ECC μετά το 2035 (οι προθεσμίες αναλυτικά: Μετακβαντική κρυπτογραφία: οι προθεσμίες του 2026, του 2030 και του 2035 και τι από αυτές είναι δεσμευτικό). Στην πορεία προς τα εκεί, κρυπτογραφικές απογραφές, CBOM και μηχαναγνώσιμα τεκμήρια δημιουργούνται σε ευρεία κλίμακα – ως επείγουσα σύσταση του οδικού χάρτη της ΕΕ και της γερμανικής κατευθυντήριας γραμμής, για τις οντότητες της NIS2 μέσω της στάθμης της τεχνικής και με νομικό έρεισμα. Ακριβώς η υποδομή που προϋποθέτει το Embedded GRC δημιουργείται λοιπόν αυτή τη στιγμή – όχι από όραμα, αλλά ωθούμενη από τη ρύθμιση.

Πιο συγκεκριμένοι από «από το 2035 περίπου» δεν θέλουμε να γίνουμε. Το να δώσει κανείς σε μια πρόβλεψη οκτώ ετών μια χρονολογία με ακρίβεια έτους θα ήταν ψευδής ακρίβεια.

Δύο ενστάσεις που παίρνουμε στα σοβαρά

Η ένσταση του Holodeck. Το GRC 8.0 προϋποθέτει μια ποιότητα δεδομένων που πολλοί οργανισμοί δεν πετυχαίνουν σήμερα ούτε για την κρυπτογραφική τους απογραφή – την οποία ο οδικός χάρτης της ΕΕ προβλέπει έως το τέλος του 2026 και η οποία σε πολλά μέρη μόλις τώρα δημιουργείται. Αναμένουμε επομένως ότι η προσομοίωση θα αποδώσει πρώτα σε στενά, καλά μοντελοποιήσιμα τμήματα, όπως σενάρια εφοδιαστικής αλυσίδας ή διακοπών λειτουργίας, και όχι ως δίδυμο ολόκληρης της επιχείρησης. Όποιος κατανέμει προϋπολογισμό σήμερα, καλύτερα να τον επενδύσει στην ποιότητα των δεδομένων παρά σε εργαλεία προσομοίωσης.

Η αντίθετη θέση: κατακερματισμός αντί για συγχώνευση. Μπορεί τα πράγματα να εξελιχθούν και αλλιώς. Η ρύθμιση αυξάνεται αυτή τη στιγμή ταχύτερα από την εναρμόνισή της: ο Κανονισμός για την ΤΝ, ο DORA, η NIS2, ο Cyber Resilience Act και οι εθνικές ιδιαίτερες οδοί θέτουν ο καθένας δικές του απαιτήσεις με δικούς του διαύλους αναφοράς. Αντί για μια συγκλίνουσα πειθαρχία θα μπορούσαν να προκύψουν ξανά σιλό ανά ρυθμιστικό πεδίο – αυτή τη φορά το καθένα με δικούς του πράκτορες. Αυτό θα ήταν το GRC 1.0 σε υψηλότερο επίπεδο. Ποια από τις δύο κατευθύνσεις θα επικρατήσει κρίνεται από το αν οι μηχαναγνώσιμες μορφές θα γίνουν κοινές μεταξύ των ρυθμιστικών πεδίων ή θα μείνουν χωριστές ανά ρύθμιση.

Τι αντέχει ήδη σήμερα

Το πρακτικό σε αυτή την πρόβλεψη: η προετοιμασία είναι η ίδια, είτε επαληθευτεί είτε όχι. Όποιος διατηρεί ήδη σήμερα τις απαιτήσεις, τα μέτρα και τα τεκμήρια δομημένα και σε μηχαναγνώσιμη μορφή είναι σωστά τοποθετημένος και για τις δύο κατευθύνσεις – για το Embedded GRC ούτως ή άλλως, και σε έναν κατακερματισμένο κόσμο ένα δομημένο απόθεμα είναι η μόνη ρεαλιστική ευκαιρία να εξυπηρετηθούν περισσότερα ρυθμιστικά πεδία χωρίς πολλαπλή εργασία. Το ίδιο ισχύει για την οριοθέτηση αρμοδιοτήτων: όποιος καταγράφει σήμερα τι επιτρέπεται να προτείνει ένας πράκτορας και τι πρέπει να αποφασίσει ένας άνθρωπος, χτίζει το μητρώο αποφάσεων που αργότερα θα αποτελέσει τον πυρήνα.

Γι' αυτό, μαζί με την κατηγορία GRC δεν εξαφανίζεται η εργασία. Μετατοπίζεται το τι κάνουν οι άνθρωποι: λιγότερη συλλογή αποδεικτικών, περισσότερες αποφάσεις που λαμβάνονται και για τις οποίες αναλαμβάνεται η ευθύνη.

Συμπέρασμα

Η πρόβλεψή μας σε μία πρόταση: το GRC 9.0 ξεκινά γύρω στο 2035, ονομάζεται κατ' ουσίαν Embedded GRC – διακυβέρνηση ως ιδιότητα των συστημάτων, ομόσπονδη εμπιστοσύνη μεταξύ οργανισμών, ευθύνη ως τελευταία ανθρώπινη βαθμίδα – και είναι η τελευταία γενιά, επειδή μετά από αυτήν η διακυβέρνηση δεν αποτελεί πλέον αυτοτελή κατηγορία. Βέβαιο σε αυτό δεν είναι τίποτα εκτός από την κατεύθυνση της υποδομής: οι μηχαναγνώσιμες απαιτήσεις, απογραφές και τα τεκμήρια επικρατούν, ωθούμενα από τη ρύθμιση. Αν από αυτό θα προκύψει συγχώνευση ή κατακερματισμός παραμένει ανοιχτό. Η προετοιμασία είναι και στις δύο περιπτώσεις η ίδια.

Πηγές

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, Οκτώβριος 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 Οκτωβρίου 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream της NIS Cooperation Group, Ιούνιος 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 Νοεμβρίου 2024)