GRC 9.0: zašto se posljednja generacija zove Embedded GRC – prognoza

Gdje Rasmussenov model završava

Michael Rasmussen opisuje GRC tržište u generacijama. GRC 7.0, „GRC Orchestrate“, za njega je sadašnjost do otprilike 2030.: međudjelovanje konteksta za odlučivanje (Intelligence), agenata s jasno uređenim ovlastima (Action) i sposobnosti koje stručna područja grade sama (Configuration). Za razdoblje od otprilike 2030. skicira GRC 8.0, „Quantum GRC“: digitalne blizance organizacije, s pomoću kojih organizacije isprobavaju moguće budućnosti prije nego što odluče – naziva to „Risk Holodeck“. GRC 20/20 Model smo detaljno smjestili u članku GRC 7.0: što GRC Orchestrate Michaela Rasmussena znači za organizacije.

Nakon toga model završava. Generaciju 9.0 Rasmussen ne opisuje, a koliko znamo, nije je definirao ni itko drugi.

Ovaj članak popunjava prazninu vlastitom procjenom. To je važno reći unaprijed: ono što slijedi nije analitički model ni sažetak tuđih istraživanja, nego naša obrazložena prognoza – izvedena iz razvoja koji je već danas dokaziv. Na kraju navodimo prigovore koji govore protiv nje.

Jedno pitanje uređuje sve generacije

Pročitaju li se generacije od 1.0 do 8.0 zaredom, u srži odgovaraju na isto pitanje: Gdje se odvija upravljanje?

Slijedi li se ta linija, nedostaje točno jedno mjesto: sam sustav. Ne GRC alat uz poslovanje, nego upravljanje kao svojstvo sustava koji poslovanje pokreću.

Naša teza: GRC 9.0 je Embedded GRC

Očekujemo da sljedeća generacija počinje od otprilike 2035. i da ima tri obilježja.

Usklađenost postaje svojstvo sustava

Danas timovi naknadno dokazuju da sustavi ispunjavaju zahtjeve: prikupljaju snimke zaslona, izvoze izvještaje, popunjavaju revizijske predloške. U sljedećoj generaciji aplikacije dolaze na svijet sa strojno čitljivim obvezama o kontrolama, a dokaz nastaje u radu kao nusproizvod. Gradivni elementi za to postoje: OSCAL opisuje zahtjeve, kontrole i procjene strojno čitljivo (vidi Što je OSCAL?), FedRAMP već prihvaća pakete u tom formatu (vidi FedRAMP prelazi na strojno čitljive podatke), SBOM-ovi i CBOM-ovi opisuju softverske i kriptografske sastavne dijelove. Audit tada provjerava sustav koji dokaze stvara i njegovu konfiguraciju – a ne više tisuću pojedinačnih dokaza.

Povjerenje se među organizacijama razmjenjuje strojno

Procjena dobavljača danas znači: razaslati upitnike, arhivirati odgovore, ponavljati svake godine. NIS2 i DORA već obvezuju opskrbne lance – upravljanjem rizicima i ugovornim obvezama – a Cyber Resilience Act od kraja 2027. donosi strojno čitljive SBOM-ove kao dokumentaciju proizvođača. Sljedeći je korak predvidljiv: dobavljač kontrolu dokaže jednom, kriptografski potpisano, a svi kupci dokaz preuzimaju strojno. Upitnik ne umire od zabrane, nego od vlastite suvišnosti.

Oskudan resurs je odgovornost

Rasmussenova vlastita ključna teza o GRC 7.0 glasi: umjetna inteligencija čini softverske funkcije jeftinima; vrijedne postaju pouzdane informacije, kontekst i odgovornost. Domišljeno do kraja, to znači: kad agenti procjenjuju, simuliraju i izvršavaju, kao ljudska jezgra ostaje točno jedna zadaća – odlučiti tko za što jamči i koji rizik organizacija svjesno nosi. System of Record sljedeće generacije zato više nije arhiv dokumenata, nego registar odluka i ovlasti.

Zašto od 2035.

Godina u prognozi laka je meta, zato je obrazlažemo dvostruko.

Prvo, ritam samog modela: GRC 7.0 prema Rasmussenu traje od 2025. do 2030., GRC 8.0 počinje oko 2030. Novije generacije traju otprilike pet godina, pa bi sljedeća počela oko 2035.

Drugo, regulativa neovisno o tome pokazuje na istu godinu. Do 2035. prijelaz na postkvantnu kriptografiju na razini cijele EU trebao bi biti uglavnom dovršen, a NIST-ov nacrt IR 8547 predviđa da se RSA i ECC nakon 2035. povuku iz uporabe (rokovi u detalje: Postkvantna kriptografija: rokovi 2026., 2030. i 2035. i što je od toga obvezujuće). Na putu do toga posvuda nastaju kriptografski inventari, CBOM-ovi i strojno čitljivi dokazi – kao hitna preporuka EU-ova plana i njemačke smjernice, za subjekte obuhvaćene NIS2-om preko stanja tehnike i pravno poduprti. Upravo infrastruktura koju Embedded GRC pretpostavlja, dakle, upravo nastaje – ne iz vizije, nego potaknuta regulativom.

Precizniji od „od otprilike 2035.“ ne želimo biti. Opremiti prognozu na osam godina unaprijed godinom točnom do znamenke bila bi prividna preciznost.

Dva prigovora koja shvaćamo ozbiljno

Prigovor holodeka. GRC 8.0 pretpostavlja kvalitetu podataka koju mnoge organizacije danas ne postižu ni za svoj kriptografski inventar – koji EU-ov plan predviđa do kraja 2026. i koji na mnogim mjestima tek nastaje. Zato očekujemo da će se simulacija najprije pokazati u uskim, dobro modelirljivim isječcima, primjerice scenarijima opskrbnih lanaca ili ispada, a ne kao blizanac cijele organizacije. Tko danas raspoređuje proračun, trebao bi ga uložiti radije u kvalitetu podataka nego u simulacijske alate.

Protuteza: rascjepkanost umjesto stapanja. Može ispasti i drukčije. Regulativa trenutačno raste brže od svoje harmonizacije: Akt o umjetnoj inteligenciji, DORA, NIS2, Cyber Resilience Act i nacionalni posebni putevi postavljaju svaki svoje zahtjeve s vlastitim kanalima izvješćivanja. Umjesto konvergentne discipline mogli bi ponovno nastati silosi po pravnim područjima – ovaj put svaki s vlastitim agentima. To bi bio GRC 1.0 na višoj razini. Koji će od dvaju smjerova prevladati, odlučit će se po tome hoće li strojno čitljivi formati vrijediti preko granica pravnih područja ili će svaka regulativa imati svoje.

Što već danas drži

Praktično je u ovoj prognozi: priprema je ista, bez obzira na to hoće li se ostvariti. Tko zahtjeve, mjere i dokaze već danas vodi strukturirano i strojno čitljivo, dobro je postavljen za oba smjera – za Embedded GRC ionako, a u rascjepkanom svijetu strukturiran je fond jedina realistična prilika da se više pravnih područja pokrije bez višestrukog rada. Isto vrijedi za razgraničenje ovlasti: tko danas bilježi što agent smije predložiti, a o čemu osoba mora odlučiti, gradi registar odluka koji će poslije činiti jezgru.

Zato s kategorijom GRC ne nestaje posao. Pomiče se ono što ljudi rade: manje prikupljanja dokaza, više donošenja odluka i odgovornosti za njih.

Zaključak

Naša prognoza u jednoj rečenici: GRC 9.0 počinje oko 2035., po sadržaju se zove Embedded GRC – upravljanje kao svojstvo sustava, federirano povjerenje među organizacijama, odgovornost kao posljednja ljudska instanca – i posljednja je generacija jer upravljanje nakon toga više nije zasebna kategorija. Sigurno u tome nije ništa osim smjera infrastrukture: strojno čitljivi zahtjevi, inventari i dokazi ustaljuju se, potaknuti regulativom. Hoće li iz toga nastati stapanje ili rascjepkanost, ostaje otvoreno. Priprema je u oba slučaja ista.

Izvori

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, listopad 2026.)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. listopada 2026.)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupine NIS Cooperation Group, lipanj 2025.)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12. studenoga 2024.)