GRC 9.0: miksi viimeinen sukupolvi on nimeltään Embedded GRC – ennuste

Mihin Rasmussenin malli päättyy

Michael Rasmussen kuvaa GRC-markkinaa sukupolvina. GRC 7.0, ”GRC Orchestrate”, on hänelle nykyhetki noin vuoteen 2030 asti: yhteispeli, jossa yhdistyvät päätöksenteon konteksti (Intelligence), agentit selkeästi säännellyin valtuuksin (Action) ja kyvykkyydet, joita liiketoiminta-alueet rakentavat itse (Configuration). Noin vuodesta 2030 eteenpäin hän hahmottelee GRC 8.0:n, ”Quantum GRC:n”: yrityksen digitaalisia kaksosia, joiden avulla organisaatiot käyvät läpi mahdollisia tulevaisuuksia ennen kuin päättävät – hän kutsuu sitä ”Risk Holodeckiksi”. GRC 20/20 Mallin yksityiskohdat olemme käyneet läpi artikkelissa GRC 7.0: mitä Michael Rasmussenin GRC Orchestrate tarkoittaa yrityksille.

Siihen malli päättyy. Sukupolvea 9.0 Rasmussen ei kuvaa, eikä tietääksemme kukaan muukaan ole määritellyt sitä.

Tämä kirjoitus täyttää aukon omalla arviollamme. On tärkeää sanoa heti alkuun: seuraava ei ole analyytikkomalli eikä tiivistelmä muiden tutkimuksesta, vaan meidän perusteltu ennusteemme – johdettu kehityskuluista, jotka ovat jo tänään todennettavissa. Lopuksi nimeämme vastaväitteet, jotka puhuvat sitä vastaan.

Yksi kysymys jäsentää kaikki sukupolvet

Kun sukupolvet 1.0–8.0 lukee peräkkäin, ne vastaavat pohjimmiltaan samaan kysymykseen: missä hallinto tapahtuu?

Kun tätä linjaa seuraa, jäljellä on tasan yksi paikka, joka vielä puuttuu: järjestelmä itse. Ei GRC-työkalu liiketoiminnan rinnalla, vaan hallinto niiden järjestelmien ominaisuutena, jotka pyörittävät liiketoimintaa.

Teesimme: GRC 9.0 on Embedded GRC

Odotamme, että seuraava sukupolvi alkaa noin vuodesta 2035 ja että sillä on kolme tunnusmerkkiä.

Vaatimustenmukaisuudesta tulee järjestelmien ominaisuus

Nykyään tiimit osoittavat jälkikäteen, että järjestelmät täyttävät vaatimukset: ne keräävät kuvakaappauksia, vievät raportteja, täyttävät auditointipohjia. Seuraavassa sukupolvessa sovellukset syntyvät koneluettavien kontrollilupausten kanssa, ja näyttö syntyy käytön aikana sivutuotteena. Rakennuspalikat ovat jo olemassa: OSCAL kuvaa vaatimukset, kontrollit ja arvioinnit koneluettavasti (ks. Mikä on OSCAL?), FedRAMP ottaa jo vastaan paketteja tässä muodossa (ks. FedRAMP siirtyy koneluettavaan muotoon), SBOMit ja CBOMit kuvaavat ohjelmisto- ja kryptokomponentit. Auditointi tarkastaa silloin näytön tuottavan järjestelmän ja sen konfiguraation – ei enää tuhatta yksittäistä todistetta.

Luottamusta vaihdetaan organisaatioiden välillä koneellisesti

Toimittaja-arviointi tarkoittaa nykyään tätä: kyselylomakkeiden lähettämistä, vastausten arkistointia, vuosittaista toistoa. NIS2 ja DORA asettavat toimitusketjuille jo nyt velvoitteita riskienhallinnan ja sopimuksellisten sitoumusten muodossa, ja Cyber Resilience Act tuo vuoden 2027 lopusta alkaen koneluettavat SBOMit valmistajan dokumentaatioksi. Seuraava askel on ennakoitavissa: toimittaja osoittaa kontrollin kerran, kryptografisesti allekirjoitettuna, ja kaikki asiakkaat ottavat näytön käyttöön koneellisesti. Kyselylomake ei kuole kieltoon, vaan omaan tarpeettomuuteensa.

Niukka resurssi on vastuu

Rasmussenin oma ydinteesi GRC 7.0:sta kuuluu: tekoäly tekee ohjelmistotoiminnoista halpoja; arvokkaiksi tulevat luotettavat tiedot, konteksti ja vastuu. Loppuun asti ajateltuna se tarkoittaa: kun agentit arvioivat, simuloivat ja toteuttavat, ihmisen ydintehtäväksi jää tasan yksi asia – päättää, kuka vastaa mistäkin ja minkä riskin organisaatio tietoisesti kantaa. Seuraavan sukupolven System of Record ei siksi ole enää asiakirja-arkisto, vaan päätösten ja valtuuksien rekisteri.

Miksi vuodesta 2035

Vuosiluku ennusteessa on altis arvostelulle, siksi perustelemme sen kahdella tavalla.

Ensinnäkin mallin oma rytmi: GRC 7.0 kattaa Rasmussenin mukaan vuodet 2025–2030, GRC 8.0 alkaa noin vuonna 2030. Uudemmat sukupolvet kestävät noin viisi vuotta, joten seuraava alkaisi noin vuonna 2035.

Toiseksi sääntely osoittaa tästä riippumatta samaan vuoteen. Vuoteen 2035 mennessä EU:n laajuisen siirtymän post-kvanttikryptografiaan on määrä olla pääosin valmis, ja NIST-luonnos IR 8547 poistaa RSA:n ja ECC:n käytöstä vuoden 2035 jälkeen (määräajat yksityiskohtineen: Post-kvanttikryptografia: määräajat 2026, 2030 ja 2035 ja mikä niistä on sitovaa). Matkalla sinne syntyy kattavasti kryptoinventaarioita, CBOMeja ja koneluettavaa näyttöä – EU:n tiekartan ja Saksan ohjeen painokkaana suosituksena, NIS2-toimijoille uusimman tekniikan vaatimuksen kautta myös oikeudellisesti perusteltuna. Juuri se infrastruktuuri, jota Embedded GRC edellyttää, on siis parhaillaan syntymässä – ei visiosta, vaan sääntelyn ajamana.

Tarkemmaksi kuin ”noin vuodesta 2035” emme halua mennä. Kahdeksan vuoden päähän ulottuvan ennusteen varustaminen vuodelleen tarkalla vuosiluvulla olisi näennäistarkkuutta.

Kaksi vastaväitettä, jotka otamme vakavasti

Holodeck-vastaväite. GRC 8.0 edellyttää datan laatua, jota monet organisaatiot eivät nykyään saavuta edes kryptoinventaariossaan – siinä, jota EU:n tiekartta kaavailee vuoden 2026 loppuun mennessä ja joka monin paikoin on vasta syntymässä. Odotamme siksi, että simulaatio kantaa ensin kapeissa, hyvin mallinnettavissa osa-alueissa, esimerkiksi toimitusketju- tai häiriöskenaarioissa, eikä koko yrityksen kaksosena. Jos budjettia jakaa tänään, se kannattaa sijoittaa pikemminkin datan laatuun kuin simulaatiotyökaluihin.

Vastateesi: pirstaloituminen sulautumisen sijaan. Voi käydä toisinkin. Sääntely kasvaa tällä hetkellä nopeammin kuin sen harmonisointi: tekoälyasetus, DORA, NIS2, Cyber Resilience Act ja kansalliset erillisratkaisut asettavat kukin omat vaatimuksensa omine ilmoituskanavineen. Yhtenäistyvän tieteenalan sijaan voisi jälleen syntyä siiloja oikeudenalaa kohden – tällä kertaa kullakin omat agenttinsa. Se olisi GRC 1.0 korkeammalla tasolla. Kumpi suunnista voittaa, ratkeaa sen mukaan, tulevatko koneluettavista formaateista oikeudenalarajat ylittäviä vai jääkö jokaiselle sääntelylle omansa.

Mikä kantaa jo tänään

Tässä ennusteessa on käytännöllistä se, että valmistautuminen on sama riippumatta siitä, toteutuuko se. Joka pitää vaatimukset, toimenpiteet ja näytöt jo tänään jäsenneltyinä ja koneluettavina, on asemoitunut oikein kumpaankin suuntaan – Embedded GRC:tä varten joka tapauksessa, ja pirstaloituneessa maailmassa jäsennelty tietopohja on ainoa realistinen mahdollisuus palvella useita oikeudenaloja ilman moninkertaista työtä. Sama koskee valtuuksien rajaamista: joka kirjaa tänään, mitä agentti saa ehdottaa ja mistä ihmisen on päätettävä, rakentaa sitä päätösrekisteriä, joka myöhemmin muodostaa ytimen.

Siksi GRC-kategorian mukana ei katoa työ. Se, mitä ihmiset tekevät, muuttuu: vähemmän todisteiden kokoamista, enemmän päätösten tekemistä ja niistä vastaamista.

Yhteenveto

Ennusteemme yhdessä lauseessa: GRC 9.0 alkaa noin vuonna 2035, on asiasisällöltään Embedded GRC – hallinto järjestelmien ominaisuutena, federoitu luottamus organisaatioiden välillä, vastuu viimeisenä inhimillisenä instanssina – ja on viimeinen sukupolvi, koska hallinto ei sen jälkeen ole enää oma kategoriansa. Varmaa tässä ei ole mikään muu kuin infrastruktuurin suunta: koneluettavat vaatimukset, inventaariot ja näytöt yleistyvät sääntelyn ajamina. Tuleeko lopputuloksesta sulautuminen vai pirstaloituminen, on avoinna. Valmistautuminen on kummassakin tapauksessa sama.

Lähteet

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, lokakuu 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. lokakuuta 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (NIS-yhteistyöryhmän EU PQC Workstream, kesäkuu 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)