GRC 9.0: kodėl paskutinė karta vadinasi Embedded GRC – mūsų prognozė

Kur baigiasi Rasmusseno modelis

Michaelas Rasmussenas GRC rinką aprašo kartomis. GRC 7.0, „GRC Orchestrate“, jam yra dabartis maždaug iki 2030 m.: sprendimų konteksto (Intelligence), agentų su aiškiai sureguliuotais įgaliojimais (Action) ir gebėjimų, kuriuos dalykinės sritys kuriasi pačios (Configuration), sąveika. Laikotarpiui maždaug nuo 2030 m. jis eskizuoja GRC 8.0 – „Quantum GRC“: skaitmeninius įmonės dvynius, su kuriais organizacijos išbando galimas ateitis prieš priimdamos sprendimą – jis tai vadina „Risk Holodeck“. GRC 20/20 Patį modelį išsamiai aptarėme straipsnyje GRC 7.0: ką Michaelio Rasmusseno GRC Orchestrate reiškia įmonėms.

Po to modelis baigiasi. 9.0 kartos Rasmussenas neaprašo, ir, mūsų žiniomis, jos nėra apibrėžęs ir niekas kitas.

Šis straipsnis užpildo spragą mūsų pačių vertinimu. Svarbu iš karto pabrėžti: tai, kas seka, nėra analitikų modelis ir ne svetimų tyrimų santrauka, o mūsų pagrįsta prognozė – išvesta iš raidos tendencijų, kurias galima pagrįsti jau šiandien. Pabaigoje įvardijame argumentus, kurie kalba prieš ją.

Vienas klausimas sutvarko visas kartas

Skaitant 1.0–8.0 kartas iš eilės, jos iš esmės atsako į tą patį klausimą: kur vyksta valdymas?

Sekant šia linija, trūksta lygiai vienos vietos: pačios sistemos. Ne GRC įrankio šalia verslo, o valdymo kaip savybės tų sistemų, kurios vykdo verslą.

Mūsų tezė: GRC 9.0 yra Embedded GRC

Tikimės, kad kita karta prasidės maždaug 2035 m. ir turės tris požymius.

Atitiktis tampa sistemų savybe

Šiandien komandos atgaline data įrodinėja, kad sistemos atitinka reikalavimus: renka ekrano kopijas, eksportuoja ataskaitas, pildo audito šablonus. Kitoje kartoje programos ateina į pasaulį su mašininiu būdu nuskaitomais kontrolės įsipareigojimais, o įrodymas atsiranda eksploatacijos metu kaip šalutinis produktas. Tam reikalingi statybiniai blokai jau egzistuoja: OSCAL mašininiu būdu nuskaitoma forma aprašo reikalavimus, kontrolės priemones ir vertinimus (žr. Kas yra OSCAL?), FedRAMP jau priima paketus šiuo formatu (žr. FedRAMP pereina prie mašininio skaitymo), SBOM ir CBOM aprašo programinės įrangos ir kriptografijos sudedamąsias dalis. Auditas tada tikrina generuojančią sistemą ir jos konfigūraciją – nebe tūkstantį atskirų įrodymų.

Pasitikėjimu tarp organizacijų keičiamasi mašininiu būdu

Tiekėjų vertinimas šiandien reiškia: siuntinėti klausimynus, segti atsakymus į segtuvus, kartoti kasmet. NIS2 ir DORA jau dabar įpareigoja tiekimo grandines, numatydami rizikos valdymą ir sutartinius įsipareigojimus, o Cyber Resilience Act nuo 2027 m. pabaigos atneša mašininiu būdu nuskaitomus SBOM kaip gamintojo dokumentaciją. Kitas žingsnis nuspėjamas: tiekėjas kontrolės priemonę pagrindžia vieną kartą, kriptografiškai pasirašytu įrodymu, ir visi pirkėjai įrodymą perima mašininiu būdu. Klausimynas miršta ne nuo draudimo, o nuo savo nereikalingumo.

Deficitinis išteklius yra atsakomybė

Paties Rasmusseno pagrindinė tezė apie GRC 7.0 skamba taip: DI programinės įrangos funkcijas daro pigias; vertingi tampa patikima informacija, kontekstas ir atsakomybė. Mąstant iki galo tai reiškia: kai agentai vertina, simuliuoja ir vykdo, žmogui lieka lygiai viena esminė užduotis – nuspręsti, kas už ką atsako ir kokią riziką organizacija sąmoningai prisiima. Todėl kitos kartos System of Record yra nebe dokumentų archyvas, o sprendimų ir įgaliojimų registras.

Kodėl nuo 2035 m.

Metų skaičius prognozėje yra pažeidžiamas, todėl jį pagrindžiame dvejopai.

Pirma, paties modelio ritmas: GRC 7.0, pasak Rasmusseno, trunka nuo 2025 iki 2030 m., GRC 8.0 prasideda apie 2030 m. Naujesnės kartos trunka maždaug penkerius metus, taigi kita prasidėtų apie 2035 m.

Antra, reguliavimas nepriklausomai nuo to rodo į tuos pačius metus. Iki 2035 m. visos ES perėjimas prie postkvantinės kriptografijos turėtų būti iš esmės užbaigtas, o NIST projektas IR 8547 numato, kad RSA ir ECC po 2035 m. nebebus naudojami (terminai išsamiai: Postkvantinė kriptografija: 2026, 2030 ir 2035 metų terminai ir kas iš jų privaloma). Kelyje iki ten visur kuriasi kriptografijos inventoriai, CBOM ir mašininiu būdu nuskaitomi įrodymai – kaip primygtinė ES veiksmų plano ir Vokietijos gairių rekomendacija, o NIS2 subjektams per technikos lygio reikalavimą tai turi ir teisinį pagrindą. Taigi būtent ta infrastruktūra, kurios reikalauja Embedded GRC, kuriasi dabar – ne iš vizijos, o skatinama reguliavimo.

Tikslesni nei „maždaug nuo 2035 m.“ būti nenorime. Aštuonerių metų prognozei priskirti metus vieneto tikslumu būtų tariamas tikslumas.

Du prieštaravimai, į kuriuos žiūrime rimtai

Holodeko prieštaravimas. GRC 8.0 reikalauja tokios duomenų kokybės, kokios daugelis organizacijų šiandien nepasiekia net savo kriptografijos inventoriui – kurį ES veiksmų planas numato iki 2026 m. pabaigos ir kuris daug kur dar tik kuriamas. Todėl tikimės, kad simuliacija iš pradžių pasiteisins siauruose, gerai modeliuojamuose pjūviuose, pavyzdžiui, tiekimo grandinės ar veiklos sutrikimo scenarijuose, o ne kaip visos įmonės dvynys. Kas šiandien skirsto biudžetą, turėtų jį verčiau investuoti į duomenų kokybę nei į simuliacijos įrankius.

Priešinga tezė: susiskaidymas vietoj susiliejimo. Gali būti ir kitaip. Reguliavimas šiuo metu auga greičiau nei jo derinimas: DI reglamentas, DORA, NIS2, Cyber Resilience Act ir nacionaliniai atskiri keliai kelia kiekvienas savo reikalavimus su savais pranešimo kanalais. Vietoj konvergentiškos disciplinos vėl galėtų atsirasti silosai pagal teisės sritis – šįkart kiekvienas su savais agentais. Tai būtų GRC 1.0 aukštesniu lygiu. Kuri iš dviejų krypčių laimės, lems tai, ar mašininiu būdu nuskaitomi formatai taps bendri įvairioms teisės sritims, ar kiekvienas reguliavimas turės savus.

Kas pasiteisina jau šiandien

Praktiškiausia šioje prognozėje: pasiruošimas yra tas pats, nesvarbu, ar ji išsipildys. Kas reikalavimus, priemones ir įrodymus jau šiandien tvarko struktūruotai ir mašininiu būdu nuskaitoma forma, yra teisingai pasirengęs abiem kryptims – Embedded GRC šiaip ar taip, o susiskaidžiusiame pasaulyje struktūruotas duomenų fondas yra vienintelė reali galimybė aprėpti kelias teisės sritis be daugkartinio darbo. Tas pats galioja įgaliojimų atribojimui: kas šiandien užfiksuoja, ką agentas gali siūlyti ir ką turi nuspręsti žmogus, tas kuria sprendimų registrą, kuris vėliau sudarys branduolį.

Todėl kartu su GRC kategorija darbas neišnyksta. Keičiasi tai, ką daro žmonės: mažiau įrodymų rinkimo, daugiau sprendimų priėmimo ir atsakomybės už juos.

Išvada

Mūsų prognozė vienu sakiniu: GRC 9.0 prasideda apie 2035 m., iš esmės vadinasi Embedded GRC – valdymas kaip sistemų savybė, federacinis pasitikėjimas tarp organizacijų, atsakomybė kaip paskutinė žmogiškoji instancija – ir yra paskutinė karta, nes po jos valdymas nebėra atskira kategorija. Tikra čia tik infrastruktūros kryptis: mašininiu būdu nuskaitomi reikalavimai, inventoriai ir įrodymai įsitvirtina, skatinami reguliavimo. Ar iš to susidarys susiliejimas, ar susiskaidymas, lieka atvira. Pasiruošimas abiem atvejais tas pats.

Šaltiniai

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, 2026 m. spalis)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 2026 m. spalio 14 d.)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (NIS bendradarbiavimo grupės EU PQC Workstream, 2025 m. birželis)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 2024-11-12)