GRC 9.0: de ce ultima generație se numește Embedded GRC – o prognoză

Unde se încheie modelul lui Rasmussen

Michael Rasmussen descrie piața GRC în generații. GRC 7.0, „GRC Orchestrate”, este pentru el prezentul, până în jurul anului 2030: o interacțiune între contextul deciziilor (Intelligence), agenți cu competențe clar reglementate (Action) și capabilități pe care departamentele le construiesc singure (Configuration). Pentru perioada de după aproximativ 2030 schițează GRC 8.0, „Quantum GRC”: gemeni digitali ai organizației, cu care organizațiile explorează viitoruri posibile înainte de a decide – el îl numește un „Risk Holodeck”. GRC 20/20 Modelul în detaliu l-am analizat în GRC 7.0: ce înseamnă GRC Orchestrate al lui Michael Rasmussen pentru organizații.

Aici modelul se încheie. O generație 9.0 Rasmussen nu descrie, și, din câte știm, nici altcineva nu a definit-o.

Acest articol umple golul cu o evaluare proprie. Este important de spus de la început: ceea ce urmează nu este un model de analist și nici un rezumat al cercetării altora, ci prognoza noastră argumentată – derivată din evoluții care pot fi documentate deja astăzi. La final numim obiecțiile care pledează împotriva ei.

O singură întrebare ordonează toate generațiile

Dacă citim generațiile 1.0 până la 8.0 una după alta, ele răspund în esență aceleiași întrebări: unde are loc guvernanța?

Dacă urmăm această linie, rămâne exact un singur loc care încă lipsește: sistemul însuși. Nu un instrument GRC pe lângă business, ci guvernanța ca proprietate a sistemelor care operează businessul.

Teza noastră: GRC 9.0 este Embedded GRC

Ne așteptăm ca următoarea generație să înceapă de prin 2035 și să aibă trei trăsături.

Conformitatea devine o proprietate a sistemelor

Astăzi echipele dovedesc ulterior că sistemele îndeplinesc cerințele: adună capturi de ecran, exportă rapoarte, completează șabloane de audit. În generația următoare, aplicațiile vin pe lume cu angajamente de control lizibile automat, iar dovada apare în timpul funcționării, ca produs secundar. Elementele de bază există deja: OSCAL descrie cerințe, controale și evaluări în formă lizibilă automat (vezi Ce este OSCAL?), FedRAMP acceptă deja pachete în acest format (vezi FedRAMP trece la formatul lizibil automat), SBOM-urile și CBOM-urile descriu componentele software și criptografice. Un audit verifică atunci sistemul care generează dovezile și configurația lui – nu mai verifică o mie de dovezi individuale.

Încrederea se schimbă automat între organizații

Evaluarea furnizorilor înseamnă astăzi: a trimite chestionare, a îndosaria răspunsurile, a repeta anual. NIS2 și DORA impun deja obligații lanțurilor de aprovizionare – managementul riscurilor și angajamente contractuale – iar Cyber Resilience Act aduce, de la sfârșitul lui 2027, SBOM-uri lizibile automat ca documentație a producătorului. Pasul următor este previzibil: un furnizor dovedește un control o singură dată, semnat criptografic, iar toți beneficiarii preiau dovada automat. Chestionarul nu moare printr-o interdicție, ci prin faptul că devine de prisos.

Resursa rară este responsabilitatea

Teza centrală a lui Rasmussen despre GRC 7.0 sună astfel: IA face funcțiile software ieftine; valoroase devin informațiile fiabile, contextul și responsabilitatea. Dusă până la capăt, asta înseamnă: dacă agenții evaluează, simulează și execută, ca nucleu uman rămâne exact o singură sarcină – a decide cine răspunde pentru ce și ce risc poartă în mod conștient o organizație. System of Record al generației următoare nu mai este, de aceea, o arhivă de documente, ci un registru de decizii și competențe.

De ce începând cu 2035

Un an precizat într-o prognoză este atacabil, de aceea îl argumentăm de două ori.

În primul rând, ritmul modelului însuși: GRC 7.0 merge, potrivit lui Rasmussen, din 2025 până în 2030, iar GRC 8.0 începe în jurul anului 2030. Generațiile mai recente durează aproximativ cinci ani, așa că următoarea ar începe în jurul anului 2035.

În al doilea rând, reglementarea arată, independent de asta, spre același an. Până în 2035, tranziția la nivelul UE către criptografia post-cuantică ar trebui să fie în mare parte încheiată, iar proiectul NIST IR 8547 scoate din uz RSA și ECC după 2035 (termenele în detaliu: Criptografia post-cuantică: termenele din 2026, 2030 și 2035 și ce anume este obligatoriu). Pe drumul într-acolo, inventarele criptografice, CBOM-urile și dovezile lizibile automat apar peste tot – ca recomandare presantă a foii de parcurs a UE și a ghidului german, pentru entitățile NIS2 susținute juridic și prin stadiul actual al tehnicii. Exact infrastructura pe care o presupune Embedded GRC ia naștere, așadar, chiar acum – nu dintr-o viziune, ci împinsă de reglementare.

Mai preciși decât „de prin 2035” nu vrem să fim. A pune într-o prognoză pe opt ani un an exact, la virgulă, ar fi o precizie falsă.

Două obiecții pe care le luăm în serios

Obiecția Holodeck. GRC 8.0 presupune o calitate a datelor pe care multe organizații nu o ating astăzi nici măcar pentru inventarul lor criptografic – pe care foaia de parcurs a UE îl prevede până la sfârșitul lui 2026 și care în multe locuri abia acum ia naștere. Ne așteptăm de aceea ca simularea să funcționeze mai întâi în decupaje înguste, ușor de modelat, de exemplu scenarii privind lanțul de aprovizionare sau indisponibilitățile, și nu ca geamăn al întregii organizații. Cine alocă buget astăzi ar trebui să-l investească mai degrabă în calitatea datelor decât în instrumente de simulare.

Antiteza: fragmentare în loc de fuziune. Lucrurile pot evolua și altfel. Reglementarea crește în prezent mai repede decât armonizarea ei: Regulamentul privind IA, DORA, NIS2, Cyber Resilience Act și căile naționale separate impun fiecare cerințe proprii, cu canale proprii de raportare. În loc de o disciplină convergentă ar putea apărea din nou silozuri pe fiecare domeniu de reglementare – de data aceasta fiecare cu agenții săi proprii. Acesta ar fi GRC 1.0 la un nivel mai înalt. Care dintre cele două direcții câștigă se decide după cum formatele lizibile automat devin comune mai multor domenii de reglementare sau rămân proprii fiecărei reglementări.

Ce funcționează deja astăzi

Partea practică a acestei prognoze: pregătirea este aceeași, indiferent dacă ea se adeverește. Cine își întreține astăzi cerințele, măsurile și dovezile structurat și lizibil automat este bine poziționat pentru oricare dintre cele două direcții – pentru Embedded GRC oricum, iar într-o lume fragmentată un fond structurat este singura șansă realistă de a deservi mai multe domenii de reglementare fără muncă dublă. Același lucru este valabil pentru delimitarea competențelor: cine consemnează astăzi ce are voie un agent să propună și ce trebuie să decidă o persoană construiește registrul de decizii care va forma mai târziu nucleul.

De aceea, odată cu categoria GRC nu dispare munca. Se schimbă ceea ce fac oamenii: mai puțină adunare de dovezi, mai multe decizii luate și asumate.

Concluzie

Prognoza noastră într-o singură frază: GRC 9.0 începe în jurul anului 2035, se numește în esență Embedded GRC – guvernanța ca proprietate a sistemelor, încredere federată între organizații, responsabilitatea ca ultimă instanță umană – și este ultima generație, pentru că după aceea guvernanța nu mai este o categorie de sine stătătoare. Sigur nu este nimic din toate acestea, în afară de direcția infrastructurii: cerințele, inventarele și dovezile lizibile automat se impun, împinse de reglementare. Dacă din asta rezultă fuziune sau fragmentare rămâne o întrebare deschisă. Pregătirea este aceeași în ambele cazuri.

Surse

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octombrie 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 octombrie 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream al NIS Cooperation Group, iunie 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 noiembrie 2024)