Komplexe Anfragen zerlegen

Warum komplexe Abfragen zerlegen?

Compliance-Projekte umfassen vielschichtige Aufgaben – Richtlinien erfordern Risikobewertungen, Implementierungen benötigen Anbieterbewertungen, Audits verlangen Nachweise über Dutzende von Kontrollen. Eine einzige Abfrage an ISMS Copilot wie „Vorbereitung auf das SOC 2-Audit“ liefert nur oberflächliche Hinweise zu zu vielen Themen.

Sequenzielle, fokussierte Abfragen führen zu tiefergehenden, umsetzbareren Antworten. Jeder Schritt baut auf dem vorherigen auf, sodass Sie die Richtung verfeinern und Probleme frühzeitig erkennen können, anstatt Lücken erst nach der Erstellung von 50 Seiten generischer Dokumentation zu entdecken.

Vorteile sequenzieller Abfragen

• Höhere Qualität pro Thema – Fokussierte Prompts liefern detaillierte, auditgerechte Ergebnisse statt abgekürzter Zusammenfassungen
• Einfachere Überprüfung – Prüfen Sie eine Kontrolle oder Richtlinie nach der anderen anhand von Standards, nicht ganze Frameworks
• Anpassbare Richtung – Passen Sie Folgeabfragen basierend auf Zwischenergebnissen an, ohne Aufwand zu verschwenden
• Bessere Nutzung des Nachrichtenkontingents – Die Limits der Free-Tier fördern Effizienz; gezielte Abfragen maximieren den Wert pro Nachricht
• Kontexterhaltung – Workspaces speichern den Gesprächsverlauf, sodass spätere Abfragen auf frühere Ergebnisse Bezug nehmen können

Komplexe Anfragen zerlegen

1. Mit der Eingrenzung beginnen

Erste Abfrage: Verschaffen Sie sich einen Überblick über das gesamte Themenfeld, bevor Sie ins Detail gehen.

Beispiel für ein komplexes Ziel: „ISO 27001 für unser Startup implementieren“

Eingrenzende Abfrage: „Welche sind die wichtigsten Phasen und Kontrollen für die Implementierung von ISO 27001:2022 in einem 40-köpfigen SaaS-Unternehmen mit einem Zeitrahmen von 9 Monaten?“

Ergebnis: Ein hochrangiger Fahrplan, priorisierte Kontrollen und Ressourcenschätzungen. Nutzen Sie dies, um nachfolgende Abfragen zu strukturieren.

2. Ein Bereich nach dem anderen bearbeiten

Arbeiten Sie die Framework-Domänen oder Trust Services Criteria nacheinander ab.

Beispielsequenz für SOC 2:

1. „Welche SOC 2 CC6-Kontrollen (logischer Zugriff) gelten für eine SaaS-Plattform, die Okta und AWS nutzt?“
2. „Erstellen Sie eine Benutzerzugriffsprüfungsprozedur für CC6.1 mit vierteljährlichen Manager-Reviews“
3. „Welche Nachweise belegen die Einhaltung von CC6.2 (Authentifizierung) mit MFA über Okta?“
4. „Entwerfen Sie eine Passwortrichtlinie, die die Anforderungen von CC6.1 für unser Team abdeckt“

Jede Abfrage liefert vollständige, umsetzbare Ergebnisse für diese Kontrolle, bevor Sie zum nächsten Schritt übergehen.

3. Von der Übersicht ins Detail gehen

Beginnen Sie mit einem breiten Ansatz und vertiefen Sie dann die Details basierend auf den ersten Antworten.

Sequenz:

1. „Welche sind die organisatorischen Kontrollen nach ISO 27001 Annex A.5?“ (Übersicht)
2. „Erläutern Sie die Anforderungen von A.5.1 (Informationssicherheitsrichtlinien)“ (fokussiert)
3. „Entwerfen Sie eine Informationssicherheitsrichtlinie für A.5.1 für ein Healthcare-SaaS mit HIPAA-Anforderungen“ (Implementierung)
4. „Welche Nachweise erwarten Auditoren für die Genehmigung und Kommunikation der A.5.1-Richtlinie?“ (Audit-Vorbereitung)

Jeder Schritt vertieft das Verständnis, bevor Sie sich auf die Dokumentation festlegen.

4. Erstellung und Überprüfung trennen

Fragen Sie nicht gleichzeitig nach Dokumentenerstellung und Lückenanalyse.

❌ Überladene Abfrage: „Erstellen Sie eine Risikobewertung für ISO 27001 und sagen Sie mir, was in unserem aktuellen Ansatz fehlt“

✅ Sequenzieller Ansatz:

1. „Überprüfen Sie unseren aktuellen Risikobewertungsprozess [Datei anhängen] anhand von ISO 27001 A.5.7 und identifizieren Sie Lücken“
2. „Erstellen Sie eine Risikobewertungsvorlage, die die identifizierten Lücken für unsere AWS-Umgebung adressiert“

So stellt die Lückenanalyse sicher, dass sie die Vorlagengestaltung informiert und nicht umgekehrt.

5. Abhängigkeiten in der richtigen Reihenfolge angehen

Einige Compliance-Aufgaben erfordern vorherige Ergebnisse.

Beispiel für eine Abhängigkeitskette:

1. „Welche Assets sollten wir in ein ISO 27001-Asset-Inventar für eine SaaS-Plattform aufnehmen?“ (Grundlage)
2. „Erstellen Sie ein Klassifizierungsschema für Kundendaten, interne Systeme und Code-Repositories“ (Struktur)
3. „Generieren Sie eine Risikobewertungsvorlage unter Verwendung des Asset-Inventars und der Klassifizierungen“ (baut auf 1-2 auf)
4. „Entwerfen Sie Risikobehandlungspläne für hochpriorisierte Risiken aus der Bewertung“ (baut auf 3 auf)

Jedes Ergebnis fließt in das nächste ein und schafft kohärente Dokumentation.

Beispiele nach Szenario

Szenario 1: Erstes SOC 2-Audit

Komplexe Anfrage: „Helfen Sie mir, mich in 6 Monaten auf ein SOC 2 Type I-Audit vorzubereiten“

Zerlegt:

1. „Welche sind die SOC 2 Trust Services Criteria für Security und Availability, und welche gelten für eine B2B-SaaS-Plattform?“
2. „Erstellen Sie eine SOC 2-Bereitschaftscheckliste für ein 50-köpfiges Unternehmen mit 6 Monaten bis zum Audit“
3. „Generieren Sie eine Informationssicherheitsrichtlinie, die CC1.1-1.5 (Governance und Risiko) abdeckt“
4. „Welcher Anbieter-Risikobewertungsprozess erfüllt CC9.2 für unsere SaaS-Abhängigkeiten (AWS, Stripe, SendGrid)?“
5. „Entwerfen Sie einen Incident-Response-Plan für CC7.3 mit Rollen, Eskalations- und Kommunikationsverfahren“
6. „Welche Nachweissammlung sollten wir jetzt für CC6.1 (Zugriffsprüfungen) beginnen, angesichts vierteljährlicher Prüfzyklen?“

Sechs fokussierte Abfragen sind besser als eine überwältigende Anfrage.

Szenario 2: ISO 27001-Lückenbehebung

Komplexe Anfrage: „Beheben Sie unsere ISO 27001-Auditfeststellungen in den Bereichen Zugriffskontrolle, Change Management und Protokollierung“

Zerlegt:

1. „Unser Auditor bemängelte unzureichende Zugriffsprüfungen für ISO 27001 A.5.18. Entwerfen Sie einen vierteljährlichen Zugriffsprüfungsprozess für Okta, AWS IAM und GitHub“
2. „Erstellen Sie eine Change-Management-Prozedur für A.8.32, die unseren GitHub + AWS CodePipeline CI/CD-Workflow mit Genehmigungsstufen abdeckt“
3. „Welche Protokollierungskonfiguration erfüllt ISO 27001 A.8.15 für AWS CloudTrail, Anwendungsprotokolle in Datadog und Okta-Systemprotokolle?“
4. „Generieren Sie Nachweissammlungsverfahren für die neuen Zugriffsprüfungs-, Change-Management- und Protokollierungskontrollen“

Behandelt jede Feststellung gründlich mit Implementierungsdetails.

Szenario 3: Mehrere Frameworks abstimmen

Komplexe Anfrage: „Ordnen Sie ISO 27001- und SOC 2-Kontrollen zu, um Dopplungen zu reduzieren“

Zerlegt:

1. „Welche SOC 2-Kontrollen überschneiden sich mit ISO 27001:2022 Annex A.5 (organisatorische Kontrollen)?“
2. „Erstellen Sie eine einzige Zugriffskontrollrichtlinie, die sowohl ISO 27001 A.5.15-5.18 als auch SOC 2 CC6.1-6.3 erfüllt“
3. „Wie kann eine einzige Incident-Response-Prozedur die Anforderungen von ISO 27001 A.5.24 und SOC 2 CC7.3-7.5 abdecken?“
4. „Entwerfen Sie einen einheitlichen Nachweissammlungsprozess für sich überschneidende Kontrollen in beiden Frameworks“

Identifiziert Synergien, bevor gemeinsame Dokumentation erstellt wird.

Szenario 4: Dokumentenprüfung und -verbesserung

Komplexe Anfrage: „Überprüfen Sie alle unsere Richtlinien und aktualisieren Sie sie für den neuen ISO 27001:2022-Standard“

Zerlegt:

1. „Was hat sich zwischen ISO 27001:2013 und 2022 geändert, das bestehende Richtlinien betrifft?“ (Verständnis)
2. „Überprüfen Sie unsere Informationssicherheitsrichtlinie [anhangen] anhand von ISO 27001:2022 A.5.1 und schlagen Sie Aktualisierungen vor“ (eine Richtlinie)
3. „Überprüfen Sie unsere Zugriffskontrollrichtlinie [anhangen] anhand der neuen Kontrollen A.5.15-5.18 und identifizieren Sie Lücken“ (nächste Richtlinie)
4. „Aktualisieren Sie unsere Risikobewertungsmethodik, um die neuen A.5.7-Anforderungen für Cloud-Assets einzubeziehen“ (spezifische Aktualisierung)

Eine systematische Überprüfung ist besser, als alles gleichzeitig zu aktualisieren.

Erkennen, wann man zerlegen sollte

Ihre Abfrage ist zu komplex, wenn sie:

• Ergebnisse über 5+ Kontrollen oder Bereiche anfordert
• Sowohl strategische Anleitung als auch Implementierungsdetails abfragt
• Erstellung, Überprüfung und Lückenanalyse kombiniert
• Mehrere Frameworks abdeckt, ohne Prioritäten festzulegen
• Mehr als zweimal „und“ oder „auch“ enthält

Kontext über Abfragen hinweg erhalten

Innerhalb eines Workspace-Gesprächs merkt sich ISMS Copilot vorherige Austausche. Verwenden Sie Referenzen wie:

• „Erweitern Sie den Zugriffsprüfungsprozess aus der vorherigen Antwort“
• „Wenden Sie die besprochene Risikomethodik auf Datenbankverschlüsselung an“
• „Aktualisieren Sie den Richtlinienentwurf, um die soeben aufgelisteten Nachweisanforderungen einzubeziehen“

So entsteht schrittweise eine kohärente Dokumentation, ohne den Faden zu verlieren.

Wann Komplexität angemessen ist

Einige Abfragen profitieren von der Bündelung verwandter Elemente:

• Implementierung einer einzelnen Kontrolle – „Implementieren Sie ISO 27001 A.8.24 (Kryptografie), die Verschlüsselung im Ruhezustand, während der Übertragung und das Schlüsselmanagement für unsere AWS-Umgebung abdeckt“ (ein Bereich, verwandte Aspekte)
• Vergleichende Analyse – „Vergleichen Sie die Zugriffskontrollanforderungen von ISO 27001, SOC 2 und NIST CSF für unsere SaaS-Plattform“ (beabsichtigte Frameworks-übergreifende Sicht)
• Integrierte Verfahren – „Erstellen Sie ein kombiniertes Onboarding/Offboarding-Verfahren, das ISO 27001 A.5.17 und SOC 2 CC6.1 mit Rollenbereitstellung in Okta, AWS, GitHub und Salesforce abdeckt“ (natürlich integrierter Workflow)

Der Schlüssel: Verwandte Elemente mit natürlichen Verbindungen versus unzusammenhängende Aufgaben, die gewaltsam kombiniert werden.

Erfolg messen

Eine effektive Zerlegung führt zu:

• Antworten, die Sie sofort umsetzen können, ohne größere Änderungen vornehmen zu müssen
• Klares Verständnis jeder Komponente, bevor Sie fortfahren
• Wiederverwendbaren Ergebnissen (Richtlinien, Vorlagen, Verfahren) ohne Lücken
• Effizienter Nutzung des Nachrichtenkontingents (Qualität vor Quantität)

Wenn Sie dasselbe Thema dreimal abfragen müssen, war Ihre erste Abfrage wahrscheinlich zu breit oder unklar formuliert.

Nächste Schritte

Nehmen Sie sich Ihre nächste komplexe Compliance-Aufgabe vor und skizzieren Sie 3-5 sequenzielle Abfragen, um sie zu bearbeiten. Beachten Sie, wie jeder fokussierte Schritt qualitativ hochwertigere, umsetzbarere Anleitungen liefert.

Zurück zur Prompt-Engineering-Übersicht