ISMS Copilot in Compliance-karakter houden

Overzicht

ISMS Copilot is ontworpen om te functioneren als een gespecialiseerde compliance-assistent, geen algemene AI. Het "in karakter" houden—gefocust op informatiebeveiligingsraamwerken, audit-klare outputs en een professionele toon—zorgt voor nauwkeurige, betrouwbare resultaten die voldoen aan compliance-normen.

Deze handleiding laat zien hoe je ISMS Copilot kunt configureren om consistent compliance-gedrag te behouden tijdens alle interacties.

Waarom karakterconsistentie belangrijk is

Afwijkingen van het compliance-karakter kunnen leiden tot:

• Off-topic antwoorden die quota en tijd verspillen
• Inconsistente documentatietoon in beleidsstukken
• Hallucinaties wanneer de AI buiten haar expertise opereert
• Auditbevindingen door informele of onvolledige outputs

Selecteer de juiste persona

Auditor Persona

Geoptimaliseerd voor verificatie, bewijsinzameling en gap-analyse.

Gebruik wanneer:

• Interne audits of mock-assessments uitvoeren
• Bestaande documentatie beoordelen op compliance-gaten
• Voorbereiden op externe certificeringsaudits
• Geüploade beleidsstukken of risicobeoordelingen analyseren

Kenmerken:

• Skeptische, op bewijs gerichte toon
• Benadrukt testprocedures en validatie
• Markeert potentiële niet-conformiteiten
• Verwijst naar specifieke controle-eisen en auditcriteria

Implementer Persona

Geoptimaliseerd voor beleidscreatie, implementatieplanning en operationele procedures.

Gebruik wanneer:

• Nieuwe beleidsstukken opstellen of bestaande bijwerken
• Implementatiegidsen voor controles maken
• Risicoregisters of asset-inventarissen opstellen
• Trainingsmaterialen of bewustwordingsprogramma's ontwikkelen

Kenmerken:

• Praktische, actiegerichte toon
• Focus op implementatiestappen en operationalisatie
• Biedt sjablonen en gestructureerde formats
• Brengt compliance-eisen in balans met bedrijfsmatige haalbaarheid

Gebruik aangepaste instructies om het karakter te versterken

Definieer de compliance-rol

Stel aangepaste instructies in die ISMS Copilot verankeren in jouw specifieke compliance-context.

Voorbeeld van een aangepaste instructie:

You are a compliance assistant for a SaaS company implementing ISO 27001:2022 and SOC 2 Type II. All outputs should:
- Reference specific control numbers (Annex A for ISO, CC criteria for SOC 2)
- Use formal, audit-ready language
- Include verification steps or evidence requirements
- Align with cloud infrastructure best practices
- Avoid reproducing copyrighted framework text

Specificeer de output-toon

Definieer expliciet de professionele toon die je nodig hebt voor compliance-documentatie.

Voorbeeld van een tooninstructie:

Tone: Formeel en gezaghebbend, geschikt voor beoordeling door externe auditors. Vermijd informele taal, humor of subjectieve meningen. Gebruik een derde-persoonsperspectief voor beleidsstukken (bijv. "De organisatie dient..." niet "U zou moeten...").

Handhaaf focus op raamwerken

Noem de raamwerken waarmee je werkt om off-topic afdwalingen te voorkomen.

Voorbeeld van een raamwerkinstructie:

Active frameworks: ISO 27001:2022, GDPR, NIST CSF 2.0. Do not reference outdated versions (e.g., ISO 27001:2013) or out-of-scope standards (e.g., PCI-DSS) unless explicitly asked.

Structureer prompts voor compliance-context

Begin met raamwerkverwijzingen

Start vragen met expliciete raamwerkcontext om antwoorden te verankeren.

Zwakke prompt (kan afdwalen):

How do I manage access controls?

Sterke prompt (blijft in karakter):

What are the ISO 27001:2022 Annex A.5.15 requirements for access control, and what evidence do auditors typically look for?

Specificeer het deliverable-formaat

Definieer het exacte compliance-artefact dat je nodig hebt.

Voorbeeld:

Generate a SOC 2 CC6.1 control testing procedure with these sections:
1. Control Objective
2. Control Activity
3. Test Steps (numbered)
4. Expected Evidence
5. Sample Size
6. Testing Frequency

Voeg doelgroepcontext toe

Geef ISMS Copilot aan wie de output zal beoordelen om de juiste toon te behouden.

Voorbeeld:

Create an executive summary of our ISO 27001 gap analysis for the Board of Directors. Focus on high-level risks and remediation timelines, not technical control details.

Gebruik scenario's om realisme te behouden

Geef bedrijfscontext

Beschrijf realistische compliance-scenario's om de antwoorden van ISMS Copilot te verankeren.

Voorbeeld van een scenario-gebaseerde prompt:

Scenario: Our organization is a B2B SaaS platform with 50 employees, AWS infrastructure, and no on-premises systems. We're 6 months from ISO 27001 certification audit. Generate an asset register template aligned with Annex A.5.9 requirements, focusing on cloud assets and SaaS dependencies.

Gebruik realistische beperkingen

Neem praktische beperkingen op om outputs uitvoerbaar te houden.

Voorbeeld:

Our compliance budget is limited, and we have no dedicated security team. Recommend cost-effective controls for ISO 27001 A.8.1 (asset responsibility) that can be implemented with existing IT staff.

Versterk het karakter met vervolgprompts

Verwijs naar eerdere compliance-context

Behoud consistentie door expliciet verband te leggen tussen vervolgvragen en eerdere antwoorden.

Voorbeeldreeks:

1. "Create an ISO 27001 Incident Response Policy for a SaaS company"
2. "Using the policy structure you just created, add a section on SOC 2 CC7.4 incident notification requirements"
3. "Generate an incident response testing procedure that validates both ISO 27001 A.5.24 and the SOC 2 sections we discussed"

Corrigeer afdwalingen onmiddellijk

Als ISMS Copilot afdwaalt of van toon verandert, stuur dan bij met expliciete begeleiding.

Voorbeeldcorrectie:

That response was too informal for audit documentation. Rewrite in third-person, formal tone with specific references to ISO 27001 Annex A.5.1 requirements.

Gebruik werkruimten voor consistent karakter

Wijs werkruimten toe per rol

Maak rolspecifieke werkruimten om verschillende compliance-karakters te behouden.

Voorbeeld van werkruimtestructuur:

• Werkruimte: "Interne Audit - Auditor Persona" → Gap-analyse, bewijsbeoordeling, testprocedures
• Werkruimte: "Beleidsontwikkeling - Implementer Persona" → Beleidsopstelling, controleontwerp, trainingsmaterialen
• Werkruimte: "Executive Reporting" → Hoogoverzichten, bestuurspresentaties, strategische planning

De aangepaste instructies en persona-selectie van elke werkruimte versterken het specifieke karakter dat nodig is voor die workflow.

Upload referentiebeleid

Voeg je bestaande, goedgekeurde compliance-documenten toe aan werkruimten om de stijl van ISMS Copilot te verankeren.

Voorbeeld:

1. Upload het huidige Toegangsbeheerbeleid van je organisatie naar de werkruimte
2. Prompt: "Review the uploaded Access Control Policy and generate a Data Classification Policy in the same format and tone"

ISMS Copilot zal de structuur, terminologie en formaliteit van je referentiedocument imiteren.

Monitor op karakterafwijkingen

Controleer op off-topic antwoorden

Let op tekenen dat ISMS Copilot afwijkt van de compliance-focus:

• Algemene bedrijfsadviezen die geen verband houden met raamwerken
• Marketing- of verkooptaal in beleidsoutputs
• Informele toon of eerst-persoonsperspectief in formele documenten
• Verwijzingen naar niet-compliance-onderwerpen (bijv. productontwikkeling, HR-processen)

Als er afwijkingen optreden, reset dan het gesprek of herhaal je raamwerkcontext.

Valideer controlemappingen

Zorg ervoor dat ISMS Copilot nauwkeurige controleverwijzingen behoudt:

• Controleer of de bijlagen A-controle nummers overeenkomen met ISO 27001:2022 (niet 2013)
• Controleer of de SOC 2 Trust Services Criteria overeenkomen met de huidige versie van AICPA
• Bevestig dat NIST CSF-verwijzingen het 2.0-raamwerk gebruiken (indien van toepassing)

Onjuiste versieverwijzingen duiden op karakterafwijking of hallucinatie.

Test met bekende controles

Valideer periodiek de karakterconsistentie door bekende controles te bevragen.

Testprompt:

Explain the requirements for ISO 27001:2022 Annex A.5.1 (Policies for Information Security).

Vergelijk het antwoord met je bestaande kennis—consistente terminologie en structuur duiden op een stabiel karakter.

Gebruik voorinvulpatronen voor compliance-outputs

Begin met raamwerksjablonen

Geef de openingsstructuur voor beleidsstukken of procedures om de toon te zetten.

Voorbeeld van een voorinvulprompt:

Complete this ISO 27001 Incident Response Policy:

1. Purpose
This policy establishes the requirements for identifying, reporting, assessing, and responding to information security incidents in accordance with ISO 27001:2022 Annex A.5.24, A.5.25, and A.5.26.

2. Scope
[Continue from here with sections 3-8: Definitions, Roles & Responsibilities, Incident Classification, Response Procedures, Post-Incident Review, Review Schedule]

ISMS Copilot zal de formele toon en structuur behouden die je hebt vastgesteld.

Veranker met compliance-zinswendingen

Neem standaard compliance-terminologie op in je prompt om het karakter te versterken.

Voorbeeldzinnen:

• "De organisatie dient..."
• "In overeenstemming met de eisen van [raamwerk]..."
• "Bewijs van implementatie omvat..."
• "Niet-conformiteit zal worden gedocumenteerd en geëscaleerd naar..."

Stem multi-raamwerkvragen af

Specificeer dubbele compliance

Wanneer je met meerdere raamwerken werkt, vraag dan expliciet om afstemming.

Voorbeeld:

Generate an Access Control Policy that satisfies both ISO 27001:2022 Annex A.5.15 and SOC 2 CC6.1-CC6.3. Include a control mapping table showing how each policy section addresses requirements in both frameworks.

Voorkom raamwerkmenging

Vermijd vage prompts die incompatibele raamwerken kunnen vermengen.

Vaag (risicovol):

What are the password requirements for compliance?

Specifiek (veilig):

What are the password complexity and rotation requirements specifically for ISO 27001:2022 Annex A.5.17 and SOC 2 CC6.1? List each framework's requirements separately.

Behandel randgevallen met expliciete grenzen

Aangrenzende maar buiten het bereik vallende onderwerpen

Voor grensgevallen, formuleer ze binnen de compliance-context.

Grensgevalvraag:

How do I train employees on phishing?

Compliance-geframede versie:

What are the ISO 27001 Annex A.6.3 (Security Awareness Training) requirements for phishing awareness programs, and how should training effectiveness be measured for audit evidence?

Stuur off-topic verzoeken om

Als je per ongeluk een niet-compliance-vraag indient, erken dit en herformuleer.

Voorbeeld:

User: Write a sales email for our product.
ISMS Copilot: I specialize in information security and compliance frameworks...

User: Apologies—what I meant was: Create a communication template for notifying customers about our ISO 27001 certification achievement, suitable for marketing use.

Beoordeel outputs op karakterconsistentie

Controleer gegenereerde beleidsstukken steekproefsgewijs

Voordat je AI-gegenereerde documentatie in productie gebruikt, controleer je:

• Formele, derde-persoonstaal door het hele document
• Consistente controle nummering en raamwerkverwijzingen
• Audit-geschikte terminologie (bijv. "dient" niet "zou moeten" voor eisen)
• Geen marketing- of informele formuleringen

Vergelijk tussen gesprekken

Controleer of outputs van verschillende sessies hetzelfde karakter behouden:

1. Genereer een Toegangsbeheerbeleid in één gesprek
2. Genereer een Gegevensclassificatiebeleid in een apart gesprek (zelfde werkruimte)
3. Vergelijk toon, structuur en terminologie—deze moeten nauw overeenkomen

Aanzienlijke afwijkingen duiden op inconsistente persona of aangepaste instructies.

Geavanceerd karakterbeheer

Maak persona-sjablonen

Documenteer succesvolle sets van aangepaste instructies voor hergebruik:

Voorbeeld "Auditor-sjabloon":

Role: Internal auditor conducting ISO 27001 gap analysis
Tone: Formal, skeptical, evidence-focused
Output format: Bulleted findings with control references
Evidence requirements: Always include sample size and testing procedures
Framework version: ISO 27001:2022 only (not 2013)
Persona: Auditor

Sla deze sjablonen extern op (bijv. in een document) en kopieer-plak ze naar nieuwe werkruimten indien nodig.

Gebruik scenario-bibliotheken

Onderhoud een bibliotheek met realistische compliance-scenario's voor complexe vragen.

Voorbeeldscenario voor infrastructuurcontroles:

Context: 50-employee SaaS company, AWS cloud infrastructure, no on-premises systems, annual revenue $5M, target frameworks ISO 27001 + SOC 2. Generate controls considering budget constraints and small team size.

Hergebruik deze scenario's voor verschillende controlegebieden om een consistent karakter te behouden.

Wat ISMS Copilot automatisch doet

Ingebouwde functies voor karakterbehoud:

• Compliance-only training: Gespecialiseerd in beveiligingsraamwerken, geen algemene kennis
• Scope enforcement: Weigert automatisch niet-compliance-vragen
• Framework knowledge injection: Detecteert ISO/SOC2/NIST-vermeldingen en voegt geverifieerde begeleiding toe
• Persona system: Auditor- en Implementer-modi met verschillende gedragingen
• Uncertainty disclaimers: Erkent leemtes in plaats van informatie te verzinnen

Gerelateerde bronnen

• Reduce Hallucinations in Compliance Responses
• Increase Consistency in Compliance Outputs
• AI Safety & Responsible Use Overview
• AI System Technical Overview