Décomposer les demandes complexes

Pourquoi décomposer les requêtes complexes ?

Les projets de conformité impliquent des tâches stratifiées—les politiques nécessitent des évaluations des risques, les implémentations nécessitent des évaluations de fournisseurs, les audits exigent des preuves pour des dizaines de contrôles. Demander à ISMS Copilot de "se préparer pour un audit SOC 2" en une seule requête produit des conseils superficiels couvrant trop de sujets.

Les requêtes séquentielles et ciblées génèrent des réponses plus approfondies et exploitables. Chaque étape s'appuie sur la précédente, vous permettant d'affiner la direction et de détecter les problèmes tôt plutôt que de découvrir des lacunes après avoir généré 50 pages de documentation générique.

Avantages des requêtes séquentielles

• Meilleure qualité par sujet – Les prompts ciblés obtiennent des résultats détaillés, prêts pour l'audit, au lieu de résumés abrégés
• Vérification plus facile – Examinez un contrôle ou une politique à la fois par rapport aux normes, et non des cadres entiers
• Direction adaptable – Ajustez les suivis en fonction des résultats intermédiaires sans effort gaspillé
• Meilleure utilisation du quota de messages – La limite de l'offre gratuite encourage l'efficacité ; les requêtes ciblées maximisent la valeur par message
• Préservation du contexte – Les espaces de travail conservent l'historique des conversations, permettant aux requêtes ultérieures de faire référence aux résultats précédents

Comment décomposer les demandes complexes

1. Commencer par le cadrage

Première requête : Comprendre l'ensemble du paysage avant de plonger dans les détails.

Objectif complexe exemple : "Mettre en œuvre l'ISO 27001 pour notre startup"

Requête de cadrage : "Quelles sont les phases clés et les contrôles pour la mise en œuvre de l'ISO 27001:2022 dans une entreprise SaaS de 40 personnes avec un délai de 9 mois ?"

Résultat : Feuille de route de haut niveau, contrôles prioritaires, estimations des ressources. Utilisez cela pour structurer les requêtes suivantes.

2. Traiter un domaine à la fois

Parcourez les domaines du cadre ou les critères des services de confiance de manière séquentielle.

Exemple de séquence pour SOC 2 :

1. "Quels contrôles SOC 2 CC6 (accès logique) s'appliquent à une plateforme SaaS utilisant Okta et AWS ?"
2. "Générer une procédure de revue d'accès utilisateur pour CC6.1 avec des revues trimestrielles par les managers"
3. "Quelles preuves démontrent la conformité de CC6.2 (authentification) avec la MFA via Okta ?"
4. "Rédiger une politique de mot de passe couvrant les exigences de CC6.1 pour notre équipe"

Chaque requête produit un résultat complet et implémentable pour ce contrôle avant de passer au suivant.

3. Passer du général au détaillé

Commencez par une vue d'ensemble, puis approfondissez en fonction des réponses initiales.

Séquence :

1. "Quels sont les contrôles organisationnels de l'Annexe A.5 de l'ISO 27001 ?" (vue d'ensemble)
2. "Développer les exigences de A.5.1 (politiques de sécurité de l'information)" (ciblé)
3. "Rédiger une politique de sécurité de l'information répondant à A.5.1 pour un SaaS de santé avec des exigences HIPAA" (implémentation)
4. "Quelles preuves les auditeurs attendent-ils pour l'approbation et la communication de la politique A.5.1 ?" (préparation à l'audit)

Chaque étape approfondit la compréhension avant de s'engager dans la documentation.

4. Séparer la génération de la revue

Ne demandez pas la création de documents et l'analyse des lacunes simultanément.

❌ Requête surchargée : "Créer une évaluation des risques pour l'ISO 27001 et me dire ce qui manque dans notre approche actuelle"

✅ Approche séquentielle :

1. "Examiner notre processus actuel d'évaluation des risques [joindre le fichier] par rapport à l'ISO 27001 A.5.7 et identifier les lacunes"
2. "Créer un modèle d'évaluation des risques répondant aux lacunes identifiées pour notre environnement AWS"

Cela garantit que l'analyse des lacunes informe la conception du modèle, et non l'inverse.

5. Traiter les dépendances dans l'ordre

Certaines tâches de conformité nécessitent des résultats préalables.

Exemple de chaîne de dépendances :

1. "Quels actifs devons-nous inclure dans un inventaire des actifs ISO 27001 pour une plateforme SaaS ?" (fondation)
2. "Créer un schéma de classification des actifs pour les données clients, les systèmes internes et les dépôts de code" (structure)
3. "Générer un modèle d'évaluation des risques utilisant l'inventaire des actifs et les classifications" (s'appuie sur 1-2)
4. "Rédiger des plans de traitement des risques pour les risques hautement prioritaires de l'évaluation" (s'appuie sur 3)

Chaque résultat alimente le suivant, créant une documentation cohérente.

Exemples par scénario

Scénario 1 : Premier audit SOC 2

Demande complexe : "Aidez-moi à me préparer pour un audit SOC 2 Type I dans 6 mois"

Décomposée :

1. "Quels sont les critères des services de confiance SOC 2 pour la sécurité et la disponibilité, et lesquels s'appliquent à une plateforme SaaS B2B ?"
2. "Créer une checklist de préparation SOC 2 pour une entreprise de 50 personnes avec 6 mois avant l'audit"
3. "Générer une politique de sécurité de l'information couvrant CC1.1-1.5 (gouvernance et risque)"
4. "Quel processus d'évaluation des risques fournisseurs satisfait CC9.2 pour nos dépendances SaaS (AWS, Stripe, SendGrid) ?"
5. "Rédiger un plan de réponse aux incidents pour CC7.3 avec les rôles, l'escalade et les procédures de communication"
6. "Quelle collecte de preuves devons-nous commencer dès maintenant pour CC6.1 (revues d'accès) étant donné les cycles de revue trimestriels ?"

Six requêtes ciblées valent mieux qu'une demande accablante.

Scénario 2 : Remédiation des écarts ISO 27001

Demande complexe : "Corriger nos constatations d'audit ISO 27001 concernant le contrôle d'accès, la gestion des changements et la journalisation"

Décomposée :

1. "Notre auditeur a signalé des revues d'accès inadéquates pour l'ISO 27001 A.5.18. Concevoir un processus de revue d'accès trimestriel pour Okta, AWS IAM et GitHub"
2. "Créer une procédure de gestion des changements pour A.8.32 couvrant notre workflow CI/CD GitHub + AWS CodePipeline avec des portes d'approbation"
3. "Quelle configuration de journalisation satisfait l'ISO 27001 A.8.15 pour AWS CloudTrail, les journaux d'application dans Datadog et les journaux système Okta ?"
4. "Générer des procédures de collecte de preuves pour les nouveaux contrôles de revue d'accès, de gestion des changements et de journalisation"

Traite chaque constatation de manière approfondie avec des détails d'implémentation.

Scénario 3 : Alignement multi-cadres

Demande complexe : "Mapper les contrôles ISO 27001 et SOC 2 pour réduire les doublons"

Décomposée :

1. "Quels contrôles SOC 2 se chevauchent avec les contrôles organisationnels de l'Annexe A.5 de l'ISO 27001:2022 ?"
2. "Créer une seule politique de contrôle d'accès satisfaisant à la fois l'ISO 27001 A.5.15-5.18 et SOC 2 CC6.1-6.3"
3. "Comment une procédure de réponse aux incidents peut-elle couvrir les exigences de l'ISO 27001 A.5.24 et SOC 2 CC7.3-7.5 ?"
4. "Concevoir un processus unifié de collecte de preuves pour les contrôles se chevauchant dans les deux cadres"

Identifie les synergies avant de créer une documentation partagée.

Scénario 4 : Revue et amélioration des documents

Demande complexe : "Revoir toutes nos politiques et les mettre à jour pour la nouvelle norme ISO 27001:2022"

Décomposée :

1. "Quels changements entre l'ISO 27001:2013 et 2022 affectent les politiques existantes ?" (compréhension)
2. "Revoir notre politique de sécurité de l'information [joindre] par rapport à l'ISO 27001:2022 A.5.1 et suggérer des mises à jour" (une politique)
3. "Revoir notre politique de contrôle d'accès [joindre] par rapport aux nouveaux contrôles A.5.15-5.18 et identifier les lacunes" (politique suivante)
4. "Mettre à jour notre méthodologie d'évaluation des risques pour inclure les nouvelles exigences A.5.7 pour les actifs cloud" (mise à jour spécifique)

Une revue systématique vaut mieux que de tout mettre à jour simultanément.

Reconnaître quand décomposer

Votre requête est trop complexe si elle :

• Demande des résultats pour 5+ contrôles ou domaines
• Demande à la fois des conseils stratégiques et des détails d'implémentation
• Combine la génération, la revue et l'analyse des lacunes
• Couvre plusieurs cadres sans spécifier de priorité
• Inclut "et" ou "aussi" plus de deux fois

Maintenir le contexte entre les requêtes

Au sein d'une conversation dans un espace de travail, ISMS Copilot se souvient des échanges précédents. Utilisez des références comme :

• "Développer le processus de revue d'accès de la réponse précédente"
• "Appliquer la méthodologie de risque dont nous avons discuté au chiffrement des bases de données"
• "Mettre à jour le projet de politique pour inclure les exigences de preuves que vous venez de lister"

Cela construit une documentation cohérente de manière incrémentale sans perdre le fil.

Quand la complexité est appropriée

Certaines requêtes bénéficient du regroupement d'éléments apparentés :

• Implémentation d'un seul contrôle – "Mettre en œuvre l'ISO 27001 A.8.24 (cryptographie) couvrant le chiffrement au repos, en transit et la gestion des clés pour notre environnement AWS" (un domaine, aspects apparentés)
• Analyse comparative – "Comparer les exigences de contrôle d'accès de l'ISO 27001, SOC 2 et NIST CSF pour notre plateforme SaaS" (vue intentionnelle multi-cadres)
• Procédures intégrées – "Créer une procédure combinée d'intégration/désintégration répondant à l'ISO 27001 A.5.17 et SOC 2 CC6.1 avec le provisionnement des rôles dans Okta, AWS, GitHub et Salesforce" (workflow naturellement intégré)

La clé : des éléments apparentés avec des connexions naturelles versus des tâches sans rapport forcées ensemble.

Mesurer le succès

Une décomposition efficace produit :

• Des réponses que vous pouvez implémenter immédiatement sans modifications majeures
• Une compréhension claire de chaque composant avant de passer au suivant
• Des résultats réutilisables (politiques, modèles, procédures) sans lacunes
• Une utilisation efficace du quota de messages (qualité plutôt que quantité)

Si vous requêtez le même sujet trois fois, votre requête initiale était probablement trop large ou vague.

Prochaines étapes

Prenez votre prochaine tâche complexe de conformité et esquissez 3 à 5 requêtes séquentielles pour y répondre. Remarquez comment chaque étape ciblée produit des conseils de meilleure qualité et plus exploitables.

Retour à l'aperçu de l'ingénierie des prompts