GRC 9.0: miért Embedded GRC az utolsó generáció neve – egy előrejelzés

Hol ér véget Rasmussen modellje

Michael Rasmussen generációkban írja le a GRC-piacot. A GRC 7.0, a „GRC Orchestrate” számára a jelen, nagyjából 2030-ig: a döntési kontextus (Intelligence), a világosan szabályozott jogosultságú ügynökök (Action) és a szakterületek által saját maguk kiépített képességek (Configuration) összjátéka. A nagyjából 2030 utáni időszakra a GRC 8.0-t, a „Quantum GRC”-t vázolja fel: a vállalat digitális ikreit, amelyekkel a szervezetek lejátszhatják a lehetséges jövőket, mielőtt döntenek – ő ezt „Risk Holodeck”-nek nevezi. GRC 20/20 A modellt részletesen a GRC 7.0: mit jelent Michael Rasmussen GRC Orchestrate modellje a vállalatok számára című cikkben helyeztük el.

Ezután a modell véget ér. 9.0-s generációt Rasmussen nem ír le, és tudomásunk szerint más sem definiálta.

Ez a cikk a hiányt saját megítélésünkkel tölti ki. Fontos előrebocsátani: ami következik, az nem elemzői modell és nem mások kutatásának összefoglalója, hanem a mi megindokolt előrejelzésünk – olyan fejleményekből levezetve, amelyek már ma igazolhatók. A végén megnevezzük az ellene szóló ellenvetéseket.

Egyetlen kérdés rendezi az összes generációt

Ha a generációkat 1.0-tól 8.0-ig egymás után olvassuk, lényegében ugyanarra a kérdésre válaszolnak: hol zajlik az irányítás?

Ha ezt a vonalat követjük, pontosan egy hely hiányzik még: maga a rendszer. Nem egy GRC-eszköz az üzlet mellett, hanem az irányítás azoknak a rendszereknek a tulajdonságaként, amelyek az üzletet működtetik.

Tézisünk: a GRC 9.0 az Embedded GRC

Arra számítunk, hogy a következő generáció nagyjából 2035-től kezdődik, és három jellemzője lesz.

A megfelelés a rendszerek tulajdonságává válik

Ma a csapatok utólag igazolják, hogy a rendszerek teljesítik a követelményeket: képernyőképeket gyűjtenek, jelentéseket exportálnak, auditsablonokat töltenek ki. A következő generációban az alkalmazások géppel olvasható kontrollvállalásokkal jönnek a világra, és a bizonyíték az üzemeltetés során, melléktermékként keletkezik. Az ehhez szükséges építőelemek léteznek: az OSCAL géppel olvashatóan írja le a követelményeket, kontrollokat és értékeléseket (lásd Mi az OSCAL?), a FedRAMP már elfogad csomagokat ebben a formátumban (lásd A FedRAMP géppel olvashatóvá válik), az SBOM-ok és CBOM-ok pedig leírják a szoftver- és kriptográfiai összetevőket. Az audit ekkor az előállító rendszert és annak konfigurációját vizsgálja – nem pedig ezer egyedi bizonyítékot.

A bizalom gépi úton cserélődik a szervezetek között

A beszállítóértékelés ma ezt jelenti: kérdőíveket küldeni, a válaszokat lefűzni, évente megismételni. A NIS2 és a DORA már ma kötelezettségeket ró az ellátási láncokra – kockázatkezelést és szerződéses vállalásokat –, a Cyber Resilience Act pedig 2027 végétől géppel olvasható SBOM-okat hoz gyártói dokumentációként. A következő lépés előre látható: egy beszállító egyszer, kriptográfiailag aláírva igazol egy kontrollt, és minden átvevő gépi úton veszi át a bizonyítékot. A kérdőív nem egy tilalomba hal bele, hanem a saját feleslegességébe.

A szűkös erőforrás a felelősség

Rasmussen saját központi tézise a GRC 7.0-ról így szól: az MI olcsóvá teszi a szoftverfunkciókat; értékessé a megbízható információk, a kontextus és a felelősség válik. Végiggondolva ez azt jelenti: ha az ügynökök értékelnek, szimulálnak és végrehajtanak, emberi magként pontosan egy feladat marad – eldönteni, ki miért felel, és milyen kockázatot visel tudatosan egy szervezet. A következő generáció System of Recordja ezért már nem dokumentumarchívum, hanem döntések és jogosultságok nyilvántartása.

Miért 2035-től

Egy évszám egy előrejelzésben támadható, ezért kétszeresen indokoljuk.

Először is a modell saját üteme: a GRC 7.0 Rasmussen szerint 2025-től 2030-ig tart, a GRC 8.0 2030 körül kezdődik. A fiatalabb generációk nagyjából öt évig tartanak, a következő tehát 2035 körül kezdődne.

Másodszor, a szabályozás ettől függetlenül ugyanarra az évre mutat. 2035-ig az EU-szintű átállásnak a posztkvantum-kriptográfiára nagyrészt le kell zárulnia, a NIST IR 8547 tervezete pedig 2035 után kivezeti az RSA-t és az ECC-t (a határidők részletesen: Posztkvantum-kriptográfia: a 2026-os, 2030-as és 2035-ös határidők, és mi ezekből kötelező). Az odáig vezető úton mindenütt kriptográfiai leltárak, CBOM-ok és géppel olvasható bizonyítékok jönnek létre – az EU ütemtervének és a német iránymutatásnak a sürgető ajánlásaként, a NIS2 hatálya alá tartozó szervezetek számára a technika állásán keresztül jogilag is alátámasztva. Éppen az az infrastruktúra jön tehát most létre, amelyet az Embedded GRC feltételez – nem vízióból, hanem a szabályozástól hajtva.

Pontosabbak, mint „nagyjából 2035-től”, nem akarunk lenni. Egy nyolc évre szóló előrejelzést évre pontos számmal ellátni látszatpontosság volna.

Két ellenvetés, amelyet komolyan veszünk

A Holodeck-ellenvetés. A GRC 8.0 olyan adatminőséget feltételez, amelyet sok szervezet ma még a kriptográfiai leltárához sem ér el – pedig azt az EU ütemterve 2026 végéig irányozza elő, és sok helyen éppen csak most jön létre. Ezért arra számítunk, hogy a szimuláció először szűk, jól modellezhető kivágatokban állja meg a helyét, például ellátásilánc- vagy kiesési forgatókönyvekben, nem pedig a teljes vállalat ikreként. Aki ma költségvetést oszt el, azt inkább az adatminőségbe fektesse, mint szimulációs eszközökbe.

Az ellentézis: széttöredezés összeolvadás helyett. Történhet másképp is. A szabályozás jelenleg gyorsabban nő, mint a harmonizációja: az MI-rendelet, a DORA, a NIS2, a Cyber Resilience Act és a nemzeti különutak mind saját követelményeket támasztanak, saját jelentési csatornákkal. Konvergens diszciplína helyett újra jogterületenkénti silók jöhetnek létre – ezúttal mindegyik saját ügynökökkel. Ez a GRC 1.0 volna magasabb szinten. Hogy a két irány közül melyik győz, azon dől el, hogy a géppel olvasható formátumok jogterületeken átívelővé válnak-e, vagy szabályozásonként különállók maradnak.

Ami már ma is megállja a helyét

Ebben az előrejelzésben az a praktikus, hogy a felkészülés ugyanaz, akár bekövetkezik, akár nem. Aki a követelményeket, intézkedéseket és bizonyítékokat már ma strukturáltan és géppel olvashatóan tartja karban, mindkét irányra jól van felkészülve – az Embedded GRC-re mindenképp, egy széttöredezett világban pedig a strukturált állomány az egyetlen reális esély arra, hogy több jogterületet többszörös munka nélkül szolgáljon ki. Ugyanez érvényes a jogosultságok elhatárolására: aki ma rögzíti, mit javasolhat egy ügynök, és miről kell embernek döntenie, azt a döntési nyilvántartást építi, amely később a magot alkotja.

Ezért a GRC kategóriájával együtt nem tűnik el a munka. Az tolódik el, amit az emberek csinálnak: kevesebb bizonyítékgyűjtés, több döntés meghozatala és vállalása.

Összegzés

Előrejelzésünk egyetlen mondatban: a GRC 9.0 2035 körül kezdődik, lényegét tekintve Embedded GRC a neve – az irányítás a rendszerek tulajdonsága, föderált bizalom a szervezetek között, a felelősség mint utolsó emberi instancia –, és ez az utolsó generáció, mert az irányítás ezután már nem önálló kategória. Ebben semmi sem biztos, kivéve az infrastruktúra irányát: a géppel olvasható követelmények, leltárak és bizonyítékok a szabályozástól hajtva terjednek el. Hogy ebből összeolvadás vagy széttöredezés lesz-e, nyitott kérdés. A felkészülés mindkét esetben ugyanaz.

Források

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, 2026. október)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 2026. október 14.)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (a NIS Cooperation Group EU PQC Workstreamje, 2025. június)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 2024. november 12.)