Itereren en verfijnen met gesprekken in meerdere stappen

De kracht van gesprekscontext

In tegenstelling tot eenmalige vragen aan generieke AI-tools, houdt ISMS Copilot de gespreksgeschiedenis bij binnen werkruimten. Elke vervolgvraag bouwt voort op eerdere antwoorden, waardoor je beleidsregels kunt verfijnen, specifieke controles kunt uitbreiden of aanbevelingen kunt aanpassen zonder de context te herhalen.

Deze iteratieve aanpak weerspiegelt hoe complianceprofessionals daadwerkelijk werken: begin met een overzicht van het framework, zoom in op prioritaire controles, genereer initiële concepten en verfijn vervolgens op basis van organisatiespecifieke details en auditfeedback.

Hoe contextpersistentie werkt

Binnen een werkruimtegesprek onthoudt ISMS Copilot:

• Aangepaste instructies die zijn ingesteld voor de werkruimte
• Eerdere vragen en antwoorden in de huidige thread
• Frameworks, controles en organisatiedetails die eerder zijn genoemd
• Documenten en beleidsregels die in eerdere berichten zijn gegenereerd
• Verduidelijkingen en beperkingen die je hebt opgegeven

Hierdoor kun je verwijzen naar "het toegangsbeheerbeleid van eerder" of "uitbreiden op A.5.15 uit het vorige antwoord" zonder alles opnieuw te hoeven vermelden.

Veelvoorkomende iteratiepatronen

1. Verkennen → Focusseren → Implementeren

Begin breed, zoom in op details en genereer vervolgens deliverables.

Voorbeeldgesprek:

1. Verkennen: "Wat zijn de belangrijkste SOC 2 CC7-controles voor systeemoperaties?"
2. Focusseren: "Breid CC7.2 (systeemmonitoring) uit voor een SaaS-platform dat Datadog en PagerDuty gebruikt"
3. Implementeren: "Ontwerp een systeemmonitoringsprocedure voor CC7.2, inclusief alerteringsdrempels, escalatiepaden en incidentlogging"
4. Verfijnen: "Voeg een sectie toe over het beheer van valse positieven en stem de alerteringsdrempels af op een SLA van 99,9% uptime"

Elke stap verdiept zich van concept naar implementatie naar operationeel detail.

2. Genereren → Beoordelen → Verbeteren

Creëer initiële output, identificeer hiaten en verbeter vervolgens.

Voorbeeldgesprek:

1. Genereren: "Maak een risicobeoordelingsjabloon voor ISO 27001 A.5.7 voor onze AWS-infrastructuur"
2. Beoordelen: "Behandelt dit sjabloon risico's voor multi-region implementaties en integraties van derden?"
3. Verbeteren: "Voeg secties toe voor risico's bij cross-region datareplicatie en beveiligingsbeoordelingen van API-integraties"
4. Valideren: "Welk bewijsmateriaal verwachten auditors voor deze risicobeoordelingsaanpak?"

Iteratieve verfijning levert outputs op die klaar zijn voor audit, zonder opnieuw te hoeven beginnen.

3. Vergelijken → Beslissen → Aanpassen

Evalueer opties, kies een aanpak en pas deze vervolgens aan op jouw organisatie.

Voorbeeldgesprek:

1. Vergelijken: "Wat zijn de voor- en nadelen van op rollen gebaseerde versus op attributen gebaseerde toegangscontrole voor ISO 27001 A.5.15?"
2. Beslissen: "We gebruiken RBAC. Welke rollen moeten we definiëren voor een SaaS-bedrijf met 50 medewerkers met engineering-, verkoop- en supportteams?"
3. Aanpassen: "Genereer een RBAC-matrix die deze rollen toewijst aan systemen: AWS, GitHub, Salesforce, Zendesk en beheertools"
4. Implementeren: "Maak een toegangsprovisieprocedure met dit RBAC-model, inclusief goedkeuringsworkflows"

Beslissingen informeren vervolgstappen zonder de reden opnieuw te hoeven vermelden.

4. Controle → Bewijs → Verificatie

Implementeer controle, identificeer bewijsmateriaalbehoeften en plan validatie.

Voorbeeldgesprek:

1. Controle: "Hoe implementeer ik ISO 27001 A.8.15 logging voor AWS CloudTrail en applicatielogs?"
2. Bewijs: "Welk bewijsmateriaal toont A.8.15-compliance aan voor een auditor?"
3. Verificatie: "Maak een driemaandelijkse logbeoordelingschecklist om de effectiviteit van A.8.15 te verifiëren en bewijsmateriaal te onderhouden"
4. Documenteren: "Ontwerp de loggingsectie van onze ISMS-documentatie met verwijzing naar deze controles en bewijsmateriaal"

End-to-end implementatie in één gespreksthread.

Effectieve vervolgtechnieken

Verwijzen naar eerdere outputs

Gebruik zinnen die gebruikmaken van het gespreksgeheugen:

• "Breid het derde punt uit van je laatste antwoord"
• "Pas de risicomethodologie die we net hebben besproken toe op databaseversleuteling"
• "Werk het beleidsconcept bij om die bewijseisen op te nemen"
• "Voeg de tools die je noemde (Okta, AWS IAM) toe aan de toegangscontrolematrix"

Incrementaal opbouwen

Voeg geleidelijk complexiteit toe in plaats van alles tegelijk:

1. "Maak een basisprocedure voor incidentrespons voor ISO 27001 A.5.24"
2. "Voeg communicatiesjablonen toe voor interne escalatie en klantmelding"
3. "Neem integratie op met onze PagerDuty-alerting en Jira-ticketingworkflow"
4. "Breid de sectie over post-incidentevaluatie uit met stappen voor oorzaakanalyse"

Het laag voor laag toevoegen van details voorkomt dat initiële outputs overweldigend worden.

Begrip testen

Verifieer afstemming voordat je uitgebreid gaat genereren:

• "Voordat je het volledige beleid opstelt, bevestig: moet het zowel medewerkers als contractors omvatten?"
• "Voldoet deze aanpak aan zowel ISO 27001 A.6.1 als onze GDPR-verplichtingen?"
• "Is een driemaandelijkse beoordelingsfrequentie voldoende voor SOC 2 CC6.1, of moet het maandelijks zijn?"

Corrigeer vroegtijdig om herwerk te voorkomen.

Alternatieven aanvragen

Verken opties binnen het gesprek:

• "Wat is een alternatieve aanpak voor kleinere teams met een beperkt budget?"
• "Laat me een vereenvoudigde versie zien voor initiële implementatie, daarna de volledige enterprise-aanpak"
• "Vergelijk handmatige versus geautomatiseerde oplossingen voor deze controle"

Voorbeelden per scenario

Iteratie van beleidsontwikkeling

Stap 1: "Ontwerp een toegangsbeheerbeleid voor SOC 2 CC6 met betrekking tot gebruikersprovisie, beoordelingen en beëindiging"

Stap 2: "Voeg een sectie toe over beheer van bevoorrechte toegang voor adminrollen in AWS en GitHub"

Stap 3: "Neem noodtoegangsprocedures op voor on-call engineers met post-toegangslogging"

Stap 4: "Wijzig de beoordelingsfrequentie van driemaandelijks naar maandelijks voor bevoorrechte accounts, driemaandelijks voor standaardgebruikers"

Stap 5: "Voeg verwijzingen toe naar onze Okta SSO-configuratie en op rollen gebaseerde groepen"

Resultaat: Uitgebreid, op maat gemaakt beleid opgebouwd door verfijning.

Diepgaande gap-analyse

Stap 1: "Analyseer onze huidige beveiligingspositie ten opzichte van ISO 27001:2022 Bijlage A.8 (technische controles)"

Stap 2: "Focus op de hiaten die je hebt geïdentificeerd in A.8.1 (gebruikersendpointapparaten) en A.8.15 (logging)"

Stap 3: "Voor het endpointbeheergat, welke tools voldoen aan A.8.1 voor een remote-first team dat macOS en Windows gebruikt?"

Stap 4: "Maak een implementatieplan voor Jamf (macOS) en Intune (Windows) dat voldoet aan de A.8.1-eisen"

Stap 5: "Welk bewijsmateriaal hebben auditors nodig om A.8.1-compliance met deze tools te verifiëren?"

Resultaat: Van hoog niveau gat naar toolselectie naar implementatieplan in één thread.

Afstemming van meerdere frameworks

Stap 1: "We moeten voldoen aan zowel ISO 27001 A.5.24 (incidentbeheer) als SOC 2 CC7.3-7.5. Welke overlappingen zijn er?"

Stap 2: "Maak een uniform incidentresponsplan dat beide frameworks behandelt"

Stap 3: "Voeg specifieke secties toe voor de unieke SOC 2-eisen die je noemde (beschikbaarheidsincidenten en communicatietijdlijnen)"

Stap 4: "Neem een tabel op die elke procedurestap koppelt aan de relevante ISO 27001- en SOC 2-controles voor audittraceerbaarheid"

Resultaat: Efficiënt enkel plan met duidelijke compliancekoppeling.

Implementatieproblemen oplossen

Stap 1: "Hoe implementeer ik MFA voor ISO 27001 A.5.17 met Okta?"

Stap 2: "We hebben legacy-applicaties die geen SAML ondersteunen. Hoe gaan we daarmee om?"

Stap 3: "Stel een compenserende controle voor voor de legacy-apps totdat we ze kunnen migreren"

Stap 4: "Documenteer de aanpak van de compenserende controle voor auditorbeoordeling, inclusief tijdlijn voor volledige MFA-migratie"

Resultaat: Pragmatische oplossing die rekening houdt met technische beperkingen.

Beheren van lange gesprekken

Wanneer doorgaan versus opnieuw beginnen

Ga door met het gesprek wanneer:

• Je voortbouwt op eerdere outputs (beleid verfijnen, procedure uitbreiden)
• Je achtereenvolgens aan gerelateerde controles werkt (A.5.1 → A.5.2 → A.5.3)
• Je iteratief werkt aan één deliverable (risicobeoordeling verfijnen)
• Je implementatie van een besproken controle oplost
• Het gesprek nog minder dan 15-20 berichten telt

Begin een nieuw gesprek wanneer:

• Je overschakelt naar een niet-gerelateerd framework of domein (SOC 2 → GDPR)
• Je naar een andere projectfase gaat (van implementatie naar auditvoorbereiding)
• De context te complex wordt (10+ heen-en-weer beurten over meerdere onderwerpen)
• Je een schone lei nodig hebt zonder eerdere aannames
• Het gesprek 20+ berichten telt (gebruiksefficiëntie, totdat compactie beschikbaar is)

Samenvatten voor duidelijkheid

In lange gesprekken periodiek samenvatten:

Voorbeeld: "Om onze beslissingen tot nu toe te bevestigen: we gebruiken RBAC met 5 rollen (Beheerder, Ontwikkelaar, Verkoop, Support, Contractant), driemaandelijkse toegangsbeoordelingen behalve maandelijks voor beheerders, Okta SSO voor alle apps behalve de legacy CRM waarvoor compenserende controles gelden. Laten we nu het formele beleid opstellen."

Dit reset de gedeelde begrip en voorkomt afdwaling.

Iteratie combineren met andere technieken

Iteratie + Aangepaste instructies

Stel werkruimteinstructies in voor consistente context in alle stappen:

Instructie: "Healthcare SaaS, 80 medewerkers, AWS-infrastructuur, implementatie van ISO 27001:2022 met HIPAA-afstemming, audit over 8 maanden"

Queryreeks: Elke query erft deze context zonder herhaling

Iteratie + Bestandsuploads

Upload één keer, verwijs door het hele gesprek:

1. Upload: Voeg het huidige toegangsbeheerbeleid bij (PDF)
2. Stap 1: "Beoordeel dit beleid ten opzichte van SOC 2 CC6 en identificeer hiaten"
3. Stap 2: "Herschrijf de sectie over toegangsbeoordeling om de gevonden hiaten aan te pakken"
4. Stap 3: "Voeg de bewijseisen die je noemde toe aan een nieuwe Bijlage A"

Iteratie + Persona's

Wissel van persona midden in het gesprek voor verschillende perspectieven:

1. Implementatorpersona: "Geef me stapsgewijze MFA-implementatie voor Okta"
2. Auditorpersona: "Beoordeel dat implementatieplan—welk bewijsmateriaal zal ontbreken?"
3. Consultantpersona: "Hoe rechtvaardig ik de implementatiekosten tegenover onze CFO?"

Meerdere gezichtspunten over hetzelfde onderwerp in één thread.

Herkennen van afnemende meerwaarde

Stop met itereren wanneer:

• Je micro-aanpassingen maakt die de auditgereedheid niet verbeteren
• Vervolgvragen de eerdere context niet nauwkeurig integreren (teken van gespreksoverbelasting)
• Je dezelfde vraag meerdere keren in andere bewoordingen stelt
• Outputs minder nuttig of generieker worden

Sla op dat moment de beste versie op en ga over naar implementatie of begin een nieuw gesprek.

Iteratief werk opslaan

Best practices voor het bewaren van gespreksoutputs:

• Kopieer definitieve versies naar je documentatierepository na elke grote verfijning
• Gebruik het gesprek als auditspoor dat laat zien hoe het beleid/procedure zich heeft ontwikkeld
• Exporteer belangrijke antwoorden voor review met belanghebbenden voordat je verder gaat met itereren
• Geef werkruimten duidelijke namen om gesprekken later terug te vinden ("ISO 27001 - Toegangscontroles - Klant ABC")

Volgende stappen

Start een gesprek in meerdere stappen voor je volgende compliance-taak. Begin met een vraag op hoog niveau en gebruik vervolgens 3-5 vervolgvragen om de output te verfijnen tot een deliverable die klaar is voor implementatie. Let op hoe contextbehoud de kwaliteit versnelt.

Terug naar Overzicht Prompt Engineering