Complexe verzoeken opsplitsen

Waarom complexe vragen opsplitsen?

Compliance-projecten omvatten gelaagde taken—beleid vereist risicobeoordelingen, implementaties hebben leverancierevaluaties nodig, audits eisen bewijsmateriaal voor tientallen controles. Een verzoek aan ISMS Copilot om "voorbereiding op SOC 2-audit" in één query te doen, levert oppervlakkige begeleiding op over te veel onderwerpen.

Opeenvolgende, gerichte queries leveren diepere, meer bruikbare antwoorden op. Elke stap bouwt voort op de vorige, waardoor je de richting kunt verfijnen en problemen vroegtijdig kunt opsporen in plaats van hiaten te ontdekken nadat je 50 pagina's algemene documentatie hebt gegenereerd.

Voordelen van opeenvolgende queries

• Hogere kwaliteit per onderwerp – Gerichte prompts leveren gedetailleerde, auditklare outputs in plaats van verkorte samenvattingen
• Gemakkelijkere verificatie – Beoordeel één controle of beleid tegelijk aan de hand van standaarden, niet hele frameworks
• Aanpasbare richting – Pas vervolgvragen aan op basis van tussentijdse bevindingen zonder verspilde moeite
• Betere benutting van berichtenquotum – Gratis abonnementen moedigen efficiëntie aan; gerichte queries maximaliseren de waarde per bericht
• Contextbehoud – Werkruimten bewaren de gespreksgeschiedenis, zodat latere queries verwijzen naar eerdere outputs

Hoe complexe verzoeken te ontleden

1. Begin met afbakening

Eerste query: Begrijp het volledige landschap voordat je in details duikt.

Voorbeeld van een complex doel: "Implementeer ISO 27001 voor onze startup"

Afbakeningsquery: "Wat zijn de belangrijkste fasen en controles voor ISO 27001:2022-implementatie in een SaaS-bedrijf met 40 medewerkers en een tijdlijn van 9 maanden?"

Resultaat: Hoog niveau roadmap, prioritaire controles, schattingen van benodigde middelen. Gebruik dit om volgende queries te structureren.

2. Behandel één domein tegelijk

Doorloop frameworkdomeinen of Trust Services Criteria opeenvolgend.

Voorbeeldsequentie voor SOC 2:

1. "Welke SOC 2 CC6 (logische toegang) controles zijn van toepassing op een SaaS-platform dat Okta en AWS gebruikt?"
2. "Genereer een gebruikerstoegangsbeoordelingsprocedure voor CC6.1 met driemaandelijkse managerreviews"
3. "Welk bewijsmateriaal toont naleving van CC6.2 (authenticatie) aan met MFA via Okta?"
4. "Ontwerp een wachtwoordbeleid dat voldoet aan de CC6.1-vereisten voor ons team"

Elke query levert complete, uitvoerbare output voor die controle voordat je verdergaat.

3. Werk van hoog niveau naar gedetailleerd

Begin breed en zoom vervolgens in op details op basis van initiële antwoorden.

Sequentie:

1. "Wat zijn de ISO 27001 Bijlage A.5 organisatorische controles?" (overzicht)
2. "Verdiep je in de A.5.1 (informatiebeveiligingsbeleid) vereisten" (gericht)
3. "Ontwerp een informatiebeveiligingsbeleid voor A.5.1 voor een healthcare SaaS met HIPAA-vereisten" (implementatie)
4. "Welk bewijsmateriaal verwachten auditors voor A.5.1 beleidsgoedkeuring en -communicatie?" (auditvoorbereiding)

Elke stap verdiept het begrip voordat je je vastlegt op documentatie.

4. Scheid generatie van review

Vraag niet tegelijkertijd om documentcreatie en gap-analyse.

❌ Overladen query: "Maak een risicobeoordeling voor ISO 27001 en vertel me wat er ontbreekt aan onze huidige aanpak"

✅ Opeenvolgende aanpak:

1. "Beoordeel ons huidige risicobeoordelingsproces [bijlage toevoegen] ten opzichte van ISO 27001 A.5.7 en identificeer hiaten"
2. "Maak een risicobeoordelingsjabloon dat de geïdentificeerde hiaten aanpakt voor onze AWS-omgeving"

Dit zorgt ervoor dat de gap-analyse het sjabloonontwerp informeert, en niet andersom.

5. Pak afhankelijkheden in volgorde aan

Sommige compliance-taken vereisen uitvoer vooraf.

Voorbeeld van een afhankelijkheidsketen:

1. "Welke assets moeten we opnemen in een ISO 27001 assetinventaris voor een SaaS-platform?" (basis)
2. "Maak een assetclassificatieschema voor klantgegevens, interne systemen en coderepositories" (structuur)
3. "Genereer een risicobeoordelingsjabloon met behulp van de assetinventaris en classificaties" (bouwt voort op 1-2)
4. "Ontwerp risicobehandelingsplannen voor hoogprioritaire risico's uit de beoordeling" (bouwt voort op 3)

Elke output voedt de volgende, waardoor coherente documentatie ontstaat.

Voorbeelden per scenario

Scenario 1: Eerste SOC 2-audit

Complex verzoek: "Help me met de voorbereiding op een SOC 2 Type I-audit over 6 maanden"

Opgesplitst:

1. "Wat zijn de SOC 2 Trust Services Criteria voor Beveiliging en Beschikbaarheid, en welke zijn van toepassing op een B2B SaaS-platform?"
2. "Maak een SOC 2-gereedheidschecklist voor een bedrijf met 50 medewerkers en 6 maanden tot de audit"
3. "Genereer een informatiebeveiligingsbeleid dat CC1.1-1.5 (governance en risico) dekt"
4. "Welk leveranciersrisicobeoordelingsproces voldoet aan CC9.2 voor onze SaaS-afhankelijkheden (AWS, Stripe, SendGrid)?"
5. "Ontwerp een incidentresponsplan voor CC7.3 met rollen, escalatie en communicatieprocedures"
6. "Welke bewijsverzameling moeten we nu starten voor CC6.1 (toegangsbeoordelingen), gelet op driemaandelijkse reviewcycli?"

Zes gerichte queries zijn beter dan één overweldigend verzoek.

Scenario 2: ISO 27001-gatherstel

Complex verzoek: "Herstel onze ISO 27001-auditbevindingen op het gebied van toegangscontrole, wijzigingsbeheer en logging"

Opgesplitst:

1. "Onze auditor signaleerde onvoldoende toegangsbeoordelingen voor ISO 27001 A.5.18. Ontwerp een driemaandelijks toegangsbeoordelingsproces voor Okta, AWS IAM en GitHub"
2. "Maak een wijzigingsbeheerprocedure voor A.8.32 die onze GitHub + AWS CodePipeline CI/CD-workflow dekt met goedkeuringspoorten"
3. "Welke loggingconfiguratie voldoet aan ISO 27001 A.8.15 voor AWS CloudTrail, applicatielogs in Datadog en Okta-systeemlogs?"
4. "Genereer bewijsverzamelingsprocedures voor de nieuwe toegangsbeoordeling, wijzigingsbeheer en loggingcontroles"

Behandelt elke bevinding grondig met implementatiedetails.

Scenario 3: Afstemming van meerdere frameworks

Complex verzoek: "Koppel ISO 27001- en SOC 2-controles om duplicatie te verminderen"

Opgesplitst:

1. "Welke SOC 2-controles overlappen met ISO 27001:2022 Bijlage A.5 (organisatorische controles)?"
2. "Maak één toegangscontrolebeleid dat voldoet aan zowel ISO 27001 A.5.15-5.18 als SOC 2 CC6.1-6.3"
3. "Hoe kan één incidentresponsprocedure zowel de ISO 27001 A.5.24 als de SOC 2 CC7.3-7.5 vereisten dekken?"
4. "Ontwerp een geünificeerd bewijsverzamelingsproces voor overlappende controles in beide frameworks"

Identificeert synergieën voordat gedeelde documentatie wordt gemaakt.

Scenario 4: Documentreview en verbetering

Complex verzoek: "Beoordeel al onze beleidsdocumenten en werk ze bij voor de nieuwe ISO 27001:2022-standaard"

Opgesplitst:

1. "Wat is er veranderd tussen ISO 27001:2013 en 2022 dat invloed heeft op bestaande beleidsdocumenten?" (begrip)
2. "Beoordeel ons informatiebeveiligingsbeleid [bijlage] ten opzichte van ISO 27001:2022 A.5.1 en stel updates voor" (één beleid)
3. "Beoordeel ons toegangscontrolebeleid [bijlage] ten opzichte van nieuwe controles A.5.15-5.18 en identificeer hiaten" (volgend beleid)
4. "Werk onze risicobeoordelingsmethodologie bij om nieuwe A.5.7-vereisten voor cloudassets op te nemen" (specifieke update)

Systematische review is beter dan alles tegelijk proberen bij te werken.

Herkennen wanneer je moet opsplitsen

Je query is te complex als deze:

• Outputs vraagt voor 5+ controles of domeinen
• Zowel strategische begeleiding als implementatiedetails vraagt
• Generatie, review en gap-analyse combineert
• Meerdere frameworks behandelt zonder prioriteit aan te geven
• "en" of "ook" meer dan twee keer bevat

Context behouden tussen queries

Binnen een werkruimtegesprek onthoudt ISMS Copilot eerdere uitwisselingen. Gebruik verwijzingen zoals:

• "Breid het toegangsbeoordelingsproces uit het vorige antwoord uit"
• "Pas de risicomethodologie die we bespraken toe op databaseversleuteling"
• "Werk het beleidsontwerp bij om de zojuist genoemde bewijseisen op te nemen"

Dit bouwt stapsgewijs coherente documentatie op zonder de draad kwijt te raken.

Wanneer complexiteit gepast is

Sommige queries profiteren van het bundelen van gerelateerde elementen:

• Implementatie van één controle – "Implementeer ISO 27001 A.8.24 (cryptografie) met versleuteling in rust, tijdens transport en sleutelbeheer voor onze AWS-omgeving" (één domein, gerelateerde aspecten)
• Vergelijkende analyse – "Vergelijk de toegangscontrolevereisten van ISO 27001, SOC 2 en NIST CSF voor ons SaaS-platform" (opzettelijke cross-frameworkweergave)
• Geïntegreerde procedures – "Maak een gecombineerde onboarding/offboardingprocedure die voldoet aan ISO 27001 A.5.17 en SOC 2 CC6.1 met rolprovisioning in Okta, AWS, GitHub en Salesforce" (natuurlijk geïntegreerde workflow)

De sleutel: gerelateerde elementen met natuurlijke verbanden versus niet-gerelateerde taken die geforceerd samengevoegd worden.

Succes meten

Effectieve opsplitsing levert op:

• Antwoorden die je direct kunt implementeren zonder grote aanpassingen
• Duidelijk begrip van elke component voordat je verdergaat
• Herbruikbare outputs (beleid, sjablonen, procedures) zonder hiaten
• Efficiënt gebruik van berichtenquotum (kwaliteit boven kwantiteit)

Als je hetzelfde onderwerp drie keer opnieuw moet opvragen, was je initiële query waarschijnlijk te breed of vaag.

Volgende stappen

Neem je volgende complexe compliance-taak en schets 3-5 opeenvolgende queries om deze aan te pakken. Let op hoe elke gerichte stap hogere kwaliteit en direct bruikbare begeleiding oplevert.

Terug naar Prompt Engineering Overzicht