GRC 9.0: dlaczego ostatnia generacja nazywa się Embedded GRC – prognoza

Gdzie kończy się model Rasmussena

Michael Rasmussen opisuje rynek GRC w generacjach. GRC 7.0, „GRC Orchestrate”, to dla niego teraźniejszość do około 2030 r.: współdziałanie kontekstu decyzyjnego (Intelligence), agentów o jasno uregulowanych uprawnieniach (Action) i możliwości, które obszary biznesowe budują same (Configuration). Dla okresu od około 2030 r. szkicuje GRC 8.0, „Quantum GRC”: cyfrowe bliźniaki przedsiębiorstwa, dzięki którym organizacje ćwiczą możliwe scenariusze przyszłości, zanim podejmą decyzję – nazywa to „Risk Holodeck”. GRC 20/20 Model szczegółowo omówiliśmy w artykule GRC 7.0: co GRC Orchestrate Michaela Rasmussena oznacza dla organizacji.

Potem model się kończy. Generacji 9.0 Rasmussen nie opisuje i, o ile nam wiadomo, nikt inny też jej nie zdefiniował.

Ten artykuł wypełnia tę lukę własną oceną. Trzeba to wyraźnie zaznaczyć na wstępie: to, co następuje, nie jest modelem analityka ani streszczeniem cudzych badań, lecz naszą uzasadnioną prognozą – wyprowadzoną z rozwoju, który już dziś da się udokumentować. Na końcu wymieniamy zastrzeżenia, które przeciw niej przemawiają.

Jedno pytanie porządkuje wszystkie generacje

Kto czyta generacje od 1.0 do 8.0 jedna po drugiej, widzi, że w istocie odpowiadają one na to samo pytanie: gdzie sprawowany jest ład?

Idąc tą linią, brakuje dokładnie jednego miejsca: samego systemu. Nie narzędzia GRC obok biznesu, lecz ładu jako właściwości systemów, które ten biznes prowadzą.

Nasza teza: GRC 9.0 to Embedded GRC

Oczekujemy, że następna generacja zacznie się około 2035 r. i będzie miała trzy cechy.

Zgodność staje się właściwością systemów

Dziś zespoły wykazują po fakcie, że systemy spełniają wymagania: zbierają zrzuty ekranu, eksportują raporty, wypełniają szablony audytowe. W następnej generacji aplikacje przychodzą na świat z odczytywalnymi maszynowo zobowiązaniami dotyczącymi zabezpieczeń, a dowód powstaje w trakcie działania jako produkt uboczny. Elementy składowe już istnieją: OSCAL opisuje wymagania, zabezpieczenia i oceny w formie czytelnej maszynowo (zob. Czym jest OSCAL?), FedRAMP już przyjmuje pakiety w tym formacie (zob. FedRAMP przechodzi na dane odczytywalne maszynowo), SBOM-y i CBOM-y opisują komponenty oprogramowania i kryptografii. Audyt sprawdza wtedy system generujący i jego konfigurację – a nie tysiąc pojedynczych dowodów.

Zaufanie jest wymieniane między organizacjami maszynowo

Ocena dostawców oznacza dziś: rozsyłanie kwestionariuszy, archiwizowanie odpowiedzi, coroczne powtarzanie. NIS2 i DORA już teraz nakładają na łańcuchy dostaw obowiązki, z zarządzaniem ryzykiem i zobowiązaniami umownymi, a Cyber Resilience Act wprowadza od końca 2027 r. odczytywalne maszynowo SBOM-y jako dokumentację producenta. Następny krok jest przewidywalny: dostawca wykazuje zabezpieczenie raz, z podpisem kryptograficznym, a wszyscy odbiorcy przejmują ten dowód maszynowo. Kwestionariusz nie umrze od zakazu, lecz od własnej zbędności.

Zasobem deficytowym jest odpowiedzialność

Główna teza samego Rasmussena o GRC 7.0 brzmi: AI sprawia, że funkcje oprogramowania tanieją; na wartości zyskują wiarygodne informacje, kontekst i odpowiedzialność. Dopowiedziane do końca znaczy to: gdy agenci oceniają, symulują i wykonują, jako ludzki rdzeń pozostaje dokładnie jedno zadanie – decydowanie o tym, kto za co odpowiada i jakie ryzyko organizacja świadomie ponosi. System of Record następnej generacji nie jest więc już archiwum dokumentów, lecz rejestrem decyzji i uprawnień.

Dlaczego od 2035 roku

Rok w prognozie łatwo zaatakować, dlatego uzasadniamy go podwójnie.

Po pierwsze, rytm samego modelu: GRC 7.0 trwa według Rasmussena od 2025 do 2030 r., GRC 8.0 zaczyna się około 2030 r. Młodsze generacje trwają mniej więcej pięć lat, następna zaczęłaby się więc około 2035 r.

Po drugie, regulacje niezależnie od tego wskazują ten sam rok. Do 2035 r. ogólnounijne przejście na kryptografię postkwantową ma być w dużej mierze zakończone, a projekt NIST IR 8547 wygasza RSA i ECC po 2035 r. (terminy szczegółowo: Kryptografia postkwantowa: terminy 2026, 2030 i 2035 i co z nich jest wiążące). Po drodze na szeroką skalę powstają inwentaryzacje kryptograficzne, CBOM-y i odczytywalne maszynowo dowody – jako pilne zalecenie unijnej mapy drogowej i niemieckich wytycznych, dla podmiotów NIS2 poprzez stan techniki także prawnie ugruntowane. Dokładnie ta infrastruktura, której wymaga Embedded GRC, właśnie powstaje – nie z wizji, lecz napędzana regulacjami.

Dokładniejsi niż „od około 2035 r.” nie chcemy być. Opatrywanie prognozy na osiem lat rokiem co do cyfry byłoby pozorną precyzją.

Dwa zastrzeżenia, które traktujemy poważnie

Zastrzeżenie holodeku. GRC 8.0 zakłada jakość danych, której wiele organizacji nie osiąga dziś nawet dla swojej inwentaryzacji kryptograficznej – przewidzianej w unijnej mapie drogowej do końca 2026 r. i w wielu miejscach dopiero powstającej. Oczekujemy dlatego, że symulacja sprawdzi się najpierw w wąskich, dobrze modelowalnych wycinkach, na przykład w scenariuszach łańcucha dostaw lub awarii, a nie jako bliźniak całego przedsiębiorstwa. Kto dziś rozdziela budżet, powinien raczej zainwestować go w jakość danych niż w narzędzia symulacyjne.

Kontrteza: rozdrobnienie zamiast stopienia. Może też być inaczej. Regulacje rosną obecnie szybciej niż ich harmonizacja: akt w sprawie AI, DORA, NIS2, Cyber Resilience Act i krajowe odrębne ścieżki stawiają każde własne wymagania z własnymi kanałami zgłaszania. Zamiast zbieżnej dyscypliny mogłyby znów powstać silosy dla poszczególnych obszarów prawa – tym razem każdy z własnymi agentami. Byłoby to GRC 1.0 na wyższym poziomie. O tym, który z dwóch kierunków wygra, zdecyduje to, czy formaty odczytywalne maszynowo staną się wspólne ponad obszarami prawa, czy odrębne dla każdej regulacji.

Co opłaca się już dziś

Praktyczna strona tej prognozy: przygotowanie jest takie samo niezależnie od tego, czy się ona sprawdzi. Kto już dziś prowadzi wymagania, środki i dowody w sposób ustrukturyzowany i czytelny maszynowo, jest dobrze przygotowany na każdy z dwóch kierunków – na Embedded GRC tym bardziej, a w rozdrobnionym świecie ustrukturyzowany zasób to jedyna realistyczna szansa, by obsłużyć kilka obszarów prawa bez wielokrotnej pracy. To samo dotyczy rozgraniczania uprawnień: kto dziś zapisuje, co agent może proponować, a o czym musi decydować człowiek, buduje rejestr decyzji, który później stanie się rdzeniem.

Dlatego wraz z kategorią GRC nie zniknie praca. Przesuwa się to, co robią ludzie: mniej zbierania dowodów, więcej podejmowania decyzji i brania za nie odpowiedzialności.

Podsumowanie

Nasza prognoza w jednym zdaniu: GRC 9.0 zaczyna się około 2035 r., w istocie rzeczy nazywa się Embedded GRC – ład jako właściwość systemów, sfederowane zaufanie między organizacjami, odpowiedzialność jako ostatnia ludzka instancja – i jest ostatnią generacją, bo potem ład nie jest już osobną kategorią. Pewne nie jest w tym nic poza kierunkiem infrastruktury: odczytywalne maszynowo wymagania, inwentaryzacje i dowody upowszechniają się, napędzane regulacjami. Czy wyniknie z tego stopienie, czy rozdrobnienie, pozostaje otwarte. Przygotowanie jest w obu przypadkach takie samo.

Źródła

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, październik 2026 r.)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 października 2026 r.)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream w ramach NIS Cooperation Group, czerwiec 2025 r.)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 listopada 2024 r.)