GRC 9.0: kāpēc pēdējo paaudzi sauc Embedded GRC – mūsu prognoze

Kur beidzas Rasmussen modelis

Michael Rasmussen apraksta GRC tirgu paaudzēs. GRC 7.0, „GRC Orchestrate”, viņam ir tagadne aptuveni līdz 2030. gadam: mijiedarbība starp lēmumu kontekstu (Intelligence), aģentiem ar skaidri noteiktām pilnvarām (Action) un spējām, ko nozaru komandas veido pašas (Configuration). Laikam aptuveni no 2030. gada viņš ieskicē GRC 8.0 jeb „Quantum GRC”: uzņēmuma digitālos dvīņus, ar kuriem organizācijas izspēlē iespējamās nākotnes, pirms tās pieņem lēmumu – viņš to sauc par „Risk Holodeck”. GRC 20/20 Pašu modeli sīkāk esam aplūkojuši rakstā GRC 7.0: ko uzņēmumiem nozīmē Michael Rasmussen GRC Orchestrate.

Pēc tam modelis beidzas. Paaudzi 9.0 Rasmussen neapraksta, un, cik mums zināms, to nav definējis arī neviens cits.

Šis raksts aizpilda robu ar mūsu pašu vērtējumu. Svarīgi to pateikt jau sākumā: tas, kas seko, nav analītiķu modelis un nav svešu pētījumu kopsavilkums, bet gan mūsu pamatota prognoze – atvasināta no attīstības tendencēm, kas jau šodien ir pierādāmas. Beigās nosaucam iebildumus, kas runā pret to.

Viens jautājums sakārto visas paaudzes

Lasot paaudzes no 1.0 līdz 8.0 pēc kārtas, tās būtībā atbild uz vienu un to pašu jautājumu: kur notiek pārvaldība?

Sekojot šai līnijai, trūkst tieši vienas vietas: pašas sistēmas. Nevis GRC rīks līdzās biznesam, bet pārvaldība kā to sistēmu īpašība, kuras darbina biznesu.

Mūsu tēze: GRC 9.0 ir Embedded GRC

Mēs sagaidām, ka nākamā paaudze sāksies aptuveni 2035. gadā un tai būs trīs pazīmes.

Atbilstība kļūst par sistēmu īpašību

Šodien komandas pēc fakta pierāda, ka sistēmas izpilda prasības: tās vāc ekrānuzņēmumus, eksportē pārskatus, aizpilda audita veidnes. Nākamajā paaudzē lietojumprogrammas nāk pasaulē ar mašīnlasāmiem kontroļu solījumiem, un pierādījums rodas ekspluatācijā kā blakusprodukts. Būvelementi tam jau pastāv: OSCAL mašīnlasāmi apraksta prasības, kontroles un novērtējumus (sk. Kas ir OSCAL?), FedRAMP paketes šajā formātā jau pieņem (sk. FedRAMP pāriet uz mašīnlasāmiem datiem), SBOM un CBOM apraksta programmatūras un kriptogrāfijas sastāvdaļas. Audits tad pārbauda ģenerējošo sistēmu un tās konfigurāciju – vairs ne tūkstoš atsevišķu pierādījumu.

Uzticēšanās starp organizācijām tiek apmainīta mašīniski

Piegādātāju novērtēšana šodien nozīmē: izsūtīt anketas, iešūt atbildes mapēs, atkārtot katru gadu. NIS2 un DORA jau tagad uzliek piegādes ķēdēm pienākumus ar riska pārvaldību un līgumiskām saistībām, un Cyber Resilience Act no 2027. gada beigām ievieš mašīnlasāmus SBOM kā ražotāja dokumentāciju. Nākamais solis ir paredzams: piegādātājs kontroli pierāda vienu reizi, kriptogrāfiski parakstītu, un visi pircēji pierādījumu pārņem mašīniski. Anketa nemirst no aizlieguma, bet no savas liekības.

Deficītais resurss ir atbildība

Paša Rasmussen galvenā tēze par GRC 7.0 skan: MI padara programmatūras funkcijas lētas; vērtīga kļūst uzticama informācija, konteksts un atbildība. Domājot līdz galam, tas nozīmē: kad aģenti vērtē, simulē un izpilda, cilvēkam paliek tieši viens pamatuzdevums – izlemt, kurš par ko atbild un kādu risku organizācija apzināti uzņemas. Tāpēc nākamās paaudzes System of Record vairs nav dokumentu arhīvs, bet lēmumu un pilnvaru reģistrs.

Kāpēc no 2035. gada

Gadskaitlis prognozē ir apstrīdams, tāpēc mēs to pamatojam divkārši.

Pirmkārt, paša modeļa ritms: GRC 7.0 pēc Rasmussen domām ilgst no 2025. līdz 2030. gadam, GRC 8.0 sākas ap 2030. gadu. Jaunākās paaudzes ilgst aptuveni piecus gadus, tātad nākamā sāktos ap 2035. gadu.

Otrkārt, regulējums neatkarīgi no tā norāda uz to pašu gadu. Līdz 2035. gadam ES mēroga pārejai uz pēckvantu kriptogrāfiju jābūt lielākoties pabeigtai, un NIST projekts IR 8547 paredz, ka RSA un ECC pēc 2035. gada tiks izņemti no aprites (termiņi sīkāk: Pēckvantu kriptogrāfija: 2026., 2030. un 2035. gada termiņi un kas no tiem ir saistošs). Ceļā uz turieni visaptveroši top kriptogrāfijas inventāri, CBOM un mašīnlasāmi pierādījumi – kā ES ceļveža un Vācijas vadlīnijas neatliekams ieteikums, kas NIS2 subjektiem ar tehnikas līmeņa prasību ir arī juridiski pamatots. Tātad tieši tā infrastruktūra, ko Embedded GRC pieprasa, pašlaik top – nevis no vīzijas, bet regulējuma virzīta.

Precīzāki par „aptuveni no 2035. gada” mēs negribam būt. Astoņu gadu prognozei piešķirt gadskaitli ar viena gada precizitāti būtu šķietama precizitāte.

Divi iebildumi, ko uztveram nopietni

Holodeka iebildums. GRC 8.0 prasa tādu datu kvalitāti, kādu daudzas organizācijas šodien nesasniedz pat savam kriptogrāfijas inventāram – ko ES ceļvedis paredz līdz 2026. gada beigām un kas daudzviet vēl tikai top. Tāpēc mēs sagaidām, ka simulācija vispirms attaisnosies šauros, labi modelējamos izgriezumos, piemēram, piegādes ķēdes vai atteices scenārijos, nevis kā visa uzņēmuma dvīnis. Kas šodien sadala budžetu, tam to drīzāk vajadzētu ieguldīt datu kvalitātē, nevis simulācijas rīkos.

Pretējā tēze: sadrumstalotība saplūšanas vietā. Var notikt arī citādi. Regulējums pašlaik aug ātrāk nekā tā harmonizācija: MI regula, DORA, NIS2, Cyber Resilience Act un nacionālie īpašie ceļi katrs izvirza savas prasības ar saviem ziņošanas kanāliem. Konverģentas disciplīnas vietā atkal varētu rasties silosi pa tiesību jomām – šoreiz katrs ar saviem aģentiem. Tas būtu GRC 1.0 augstākā līmenī. Kura no abām virzībām uzvarēs, izšķirs tas, vai mašīnlasāmie formāti kļūs kopīgi pāri tiesību jomām vai katram regulējumam radīsies savi.

Kas attaisnojas jau šodien

Praktiskais šajā prognozē: sagatavošanās ir tā pati neatkarīgi no tā, vai tā piepildās. Kas prasības, pasākumus un pierādījumus jau šodien uztur strukturēti un mašīnlasāmi, ir pareizi sagatavots abām virzībām – Embedded GRC tā kā tā, un sadrumstalotā pasaulē strukturēts datu kopums ir vienīgā reālistiskā iespēja aptvert vairākas tiesību jomas bez vairākkārtēja darba. Tas pats attiecas uz pilnvaru norobežošanu: kas šodien fiksē, ko aģents drīkst ierosināt un kas jāizlemj cilvēkam, tas būvē lēmumu reģistru, kurš vēlāk veidos kodolu.

Tāpēc līdz ar GRC kategoriju neizzūd darbs. Mainās tas, ko dara cilvēki: mazāk pierādījumu vākšanas, vairāk lēmumu pieņemšanas un atbildības par tiem.

Secinājumi

Mūsu prognoze vienā teikumā: GRC 9.0 sākas ap 2035. gadu, pēc būtības saucas Embedded GRC – pārvaldība kā sistēmu īpašība, federatīva uzticēšanās starp organizācijām, atbildība kā pēdējā cilvēciskā instance – un ir pēdējā paaudze, jo pēc tam pārvaldība vairs nav atsevišķa kategorija. Drošs tajā nav nekas, izņemot infrastruktūras virzienu: mašīnlasāmas prasības, inventāri un pierādījumi nostiprinās, regulējuma virzīti. Vai no tā izveidosies saplūšana vai sadrumstalotība, paliek atklāts. Sagatavošanās abos gadījumos ir tā pati.

Avoti

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, 2026. gada oktobris)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 2026. gada 14. oktobris)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (NIS sadarbības grupas EU PQC Workstream, 2025. gada jūnijs)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024.)