GRC 9.0: miks viimane põlvkond kannab nime Embedded GRC – meie prognoos

Kus Rasmusseni mudel lõpeb

Michael Rasmussen kirjeldab GRC-turgu põlvkondadena. GRC 7.0, „GRC Orchestrate“, on tema jaoks olevik kuni umbes 2030. aastani: otsustuskonteksti (Intelligence), selgelt reguleeritud volitustega agentide (Action) ja võimekuste, mida valdkonnad ise üles ehitavad (Configuration), koosmõju. Ajaks alates umbes 2030. aastast visandab ta GRC 8.0 ehk „Quantum GRC“: ettevõtte digitaalsed kaksikud, millega organisatsioonid mängivad võimalikke tulevikke läbi, enne kui nad otsustavad – ta nimetab seda „Risk Holodeckiks“. GRC 20/20 Mudelit ennast oleme lähemalt käsitlenud artiklis GRC 7.0: mida Michael Rasmusseni GRC Orchestrate ettevõtetele tähendab.

Seejärel mudel lõpeb. Põlvkonda 9.0 Rasmussen ei kirjelda ja meile teadaolevalt ei ole seda defineerinud ka keegi teine.

See artikkel täidab lünga meie oma hinnanguga. Oluline on kohe ette öelda: järgnev ei ole analüütikumudel ega võõra uurimistöö kokkuvõte, vaid meie põhjendatud prognoos – tuletatud arengutest, mida saab juba täna tõendada. Lõpus nimetame vastuväited, mis selle vastu räägivad.

Üks küsimus korrastab kõik põlvkonnad

Kui lugeda põlvkondi 1.0 kuni 8.0 järjest, vastavad need sisuliselt samale küsimusele: kus juhtimine toimub?

Kui seda joont jätkata, on puudu täpselt üks koht: süsteem ise. Mitte GRC-tööriist äri kõrval, vaid juhtimine kui nende süsteemide omadus, mis äri käigus hoiavad.

Meie tees: GRC 9.0 on Embedded GRC

Ootame, et järgmine põlvkond algab umbes 2035. aastal ja sellel on kolm tunnust.

Vastavus muutub süsteemide omaduseks

Täna tõendavad meeskonnad tagantjärele, et süsteemid täidavad nõudeid: nad koguvad ekraanipilte, ekspordivad aruandeid, täidavad auditivorme. Järgmises põlvkonnas tulevad rakendused maailma masinloetavate kontrollilubadustega ja tõend tekib käitamise käigus kõrvalsaadusena. Ehituskivid selleks on olemas: OSCAL kirjeldab nõudeid, kontrollimeetmeid ja hindamisi masinloetavalt (vt Mis on OSCAL?), FedRAMP võtab selles vormingus pakette juba vastu (vt FedRAMP muutub masinloetavaks), SBOM-id ja CBOM-id kirjeldavad tarkvara- ja krüptokomponente. Audit kontrollib siis loovat süsteemi ja selle konfiguratsiooni – mitte enam tuhandet üksikut tõendit.

Usaldust vahetatakse organisatsioonide vahel masinlikult

Tarnijate hindamine tähendab täna: saata küsimustikke, panna vastused kausta, korrata seda igal aastal. NIS2 ja DORA panevad tarneahelatele juba praegu kohustusi, riskijuhtimise ja lepinguliste lubadustega, ning Cyber Resilience Act toob alates 2027. aasta lõpust masinloetavad SBOM-id tootjadokumentatsioonina. Järgmine samm on ettenähtav: tarnija tõendab kontrollimeetme ühe korra, krüptograafiliselt allkirjastatult, ja kõik ostjad võtavad tõendi üle masinlikult. Küsimustik ei sure keelu, vaid oma ülearususe tõttu.

Nappiv ressurss on vastutus

Rasmusseni enda põhitees GRC 7.0 kohta kõlab: tehisintellekt muudab tarkvarafunktsioonid odavaks; väärtuslikuks muutuvad usaldusväärne teave, kontekst ja vastutus. Lõpuni mõelduna tähendab see: kui agendid hindavad, simuleerivad ja täidavad, jääb inimese tuumikülesandeks täpselt üks asi – otsustada, kes mille eest vastutab ja millist riski organisatsioon teadlikult kannab. Järgmise põlvkonna System of Record ei ole seepärast enam dokumendiarhiiv, vaid otsuste ja volituste register.

Miks alates 2035. aastast

Aastaarv prognoosis on rünnatav, seepärast põhjendame seda kahekordselt.

Esiteks mudeli enda rütm: GRC 7.0 kestab Rasmusseni järgi 2025. aastast 2030. aastani, GRC 8.0 algab umbes 2030. aastal. Uuemad põlvkonnad kestavad umbes viis aastat, järgmine algaks seega umbes 2035. aastal.

Teiseks osutab regulatsioon sellest sõltumatult samale aastale. 2035. aastaks peaks ELi-ülene üleminek postkvantkrüptograafiale olema suures osas lõpule viidud ja NIST-i eelnõu IR 8547 laseb RSA-l ja ECC-l pärast 2035. aastat aeguda (tähtajad üksikasjalikult: Postkvantkrüptograafia: tähtajad 2026, 2030 ja 2035 ning mis neist on siduv). Teel sinna tekivad krüptoinventuurid, CBOM-id ja masinloetavad tõendid kõikjal – ELi teekaardi ja Saksa suunise tungiva soovitusena, NIS2 asutuste jaoks tehnika taseme kaudu ka õiguslikult toestatuna. Just see infrastruktuur, mida Embedded GRC eeldab, on seega parasjagu tekkimas – mitte visioonist, vaid regulatsiooni tõukel.

Täpsemaks kui „alates umbes 2035. aastast“ me minna ei taha. Kaheksa aasta peale tehtud prognoosi varustamine aastaarvuga numbri täpsusega oleks näiline täpsus.

Kaks vastuväidet, mida me tõsiselt võtame

Holodeki vastuväide. GRC 8.0 eeldab andmekvaliteeti, mida paljud organisatsioonid ei saavuta täna isegi oma krüptoinventuuri jaoks – mida ELi teekaart näeb ette 2026. aasta lõpuks ja mis paljudes kohtades alles tekib. Seepärast ootame, et simulatsioon kannab esmalt kitsastes, hästi modelleeritavates lõikudes, näiteks tarneahela- või katkestusstsenaariumides, mitte kogu ettevõtte kaksikuna. Kes täna eelarvet jagab, peaks selle pigem andmekvaliteeti kui simulatsioonitööriistadesse panema.

Vastutees: killustumine ühtesulamise asemel. Võib minna ka teisiti. Regulatsioon kasvab praegu kiiremini kui selle ühtlustamine: tehisintellekti määrus, DORA, NIS2, Cyber Resilience Act ja riiklikud erilahendused esitavad igaüks omad nõuded omaette teavituskanalitega. Konvergentse distsipliini asemel võiksid taas tekkida silod õigusvaldkondade kaupa – seekord igaüks oma agentidega. See oleks GRC 1.0 kõrgemal tasemel. Kumb suund võidab, otsustab see, kas masinloetavad vormingud muutuvad õigusvaldkondadeüleseks või jäävad iga regulatsiooni juures omaette.

Mis kannab juba täna

Praktiline külg selle prognoosi juures: ettevalmistus on sama, ükskõik kas see täitub. Kes hoiab nõudeid, meetmeid ja tõendeid juba täna struktureeritult ja masinloetavalt, on mõlema suuna jaoks õigesti üles seatud – Embedded GRC jaoks niikuinii, ja killustunud maailmas on struktureeritud andmestik ainus realistlik võimalus katta mitu õigusvaldkonda ilma topelttööta. Sama kehtib volituste piiritlemise kohta: kes paneb täna kirja, mida agent tohib ette panna ja mille üle peab otsustama inimene, ehitab otsuste registrit, mis hiljem tuuma moodustab.

Seepärast ei kao koos kategooriaga GRC töö. Nihkub see, mida inimesed teevad: vähem tõendite kokkukandmist, rohkem otsuste tegemist ja nende eest vastutamist.

Kokkuvõte

Meie prognoos ühe lausega: GRC 9.0 algab umbes 2035. aastal, kannab sisu poolest nime Embedded GRC – juhtimine kui süsteemide omadus, födereeritud usaldus organisatsioonide vahel, vastutus kui viimane inimlik instants – ja on viimane põlvkond, sest pärast seda ei ole juhtimine enam omaette kategooria. Kindel ei ole selle juures miski peale infrastruktuuri suuna: masinloetavad nõuded, inventuurid ja tõendid löövad läbi, regulatsiooni tõukel. Kas sellest saab ühtesulamine või killustumine, on lahtine. Ettevalmistus on mõlemal juhul sama.

Allikad

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktoober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. oktoober 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (NIS koostöörühma EU PQC Workstream, juuni 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)