Iterieren und verfeinern mit Multi-Turn-Konversationen

Die Macht des Konfigurations-Kontexts

Im Gegensatz zu einmaligen Abfragen bei generischen KI-Tools speichert der ISMS Copilot den Konversationsverlauf innerhalb von Workspaces. Jede Folgefrage baut auf vorherigen Antworten auf – so können Sie Richtlinien verfeinern, spezifische Kontrollen vertiefen oder Empfehlungen anpassen, ohne den Kontext wiederholen zu müssen.

Dieser iterative Ansatz spiegelt die tatsächliche Arbeitsweise von Compliance-Experten wider: man beginnt mit einem Überblick über das Framework, vertieft prioritäre Kontrollen, erstellt erste Entwürfe und verfeinert diese dann basierend auf organisatorischen Besonderheiten und Audit-Feedback.

Wie die Beständigkeit des Kontexts funktioniert

Innerhalb einer Workspace-Konversation merkt sich der ISMS Copilot:

• Benutzerdefinierte Anweisungen (Custom Instructions) für den Workspace

• Vorherige Abfragen und Antworten im aktuellen Thread

• Zuvor erwähnte Frameworks, Kontrollen und organisatorische Details

• In früheren Nachrichten generierte Dokumente und Richtlinien

• Von Ihnen spezifizierte Klärungen und Einschränkungen

Dies ermöglicht es Ihnen, auf „die Zugriffskontrollrichtlinie von vorhin“ zu verweisen oder „A.5.15 aus der vorherigen Antwort zu vertiefen“, ohne alles erneut erklären zu müssen.

Gängige Iterationsmuster

1. Erkunden → Fokussieren → Implementieren

Beginnen Sie breit gefächert, schränken Sie auf Details ein und erstellen Sie dann die Ergebnisse.

Beispiel-Konversation:

1. Erkunden: „Was sind die wichtigsten SOC 2 CC7 Kontrollen für den Systembetrieb?“

2. Fokussieren: „Vertiefe CC7.2 (Systemüberwachung) für eine SaaS-Plattform, die Datadog und PagerDuty nutzt.“

3. Implementieren: „Entwirf ein Systemüberwachungsverfahren für CC7.2, einschließlich Alarm-Schwellenwerte, Eskalationspfade und Incident-Protokollierung.“

4. Verfeinern: „Füge einen Abschnitt zum Management von Fehlalarmen hinzu und passe die Alarm-Schwellenwerte für ein 99,9 % Uptime-SLA an.“

Jeder Schritt führt tiefer vom Konzept über die Implementierung bis hin zum operativen Detail.

2. Generieren → Überprüfen → Verbessern

Erstellen Sie erste Entwürfe, identifizieren Sie Lücken und optimieren Sie diese dann.

Beispiel-Konversation:

1. Generieren: „Erstelle eine Risikobewertungsvorlage für ISO 27001 A.5.7, die unsere AWS-Infrastruktur abdeckt.“

2. Überprüfen: „Berücksichtigt diese Vorlage Risiken bei Multi-Region-Deployments und Integrationen von Drittanbietern?“

3. Verbessern: „Füge Abschnitte für Risiken der regionsübergreifenden Datenreplikation und Sicherheitsbewertungen für API-Integrationen hinzu.“

4. Validieren: „Welche Nachweise erwarten Auditoren für diesen Risikobewertungsansatz?“

Iterative Verfeinerung liefert auditfähige Ergebnisse, ohne jedes Mal bei Null anzufangen.

3. Vergleichen → Entscheiden → Anpassen

Optionen bewerten, Ansatz wählen und dann auf Ihre Organisation zuschneiden.

Beispiel-Konversation:

1. Vergleichen: „Was sind die Vor- und Nachteile von rollenbasierter vs. attributbasierter Zugriffskontrolle für ISO 27001 A.5.15?“

2. Entscheiden: „Wir nutzen RBAC. Welche Rollen sollten wir für ein 50-köpfiges SaaS-Unternehmen mit Engineering-, Sales- und Support-Teams definieren?“

3. Anpassen: „Erstelle eine RBAC-Matrix, die diese Rollen Systemen zuordnet: AWS, GitHub, Salesforce, Zendesk und Admin-Tools.“

4. Implementieren: „Erstelle ein Verfahren zur Zugriffsbereitstellung unter Verwendung dieses RBAC-Modells mit Genehmigungs-Workflows.“

Entscheidungen fließen in nachfolgende Schritte ein, ohne die Begründung zu wiederholen.

4. Kontrolle → Nachweis → Verifizierung

Kontrolle implementieren, Nachweisbedarf identifizieren, Validierung planen.

Beispiel-Konversation:

1. Kontrolle: „Wie implementiere ich ISO 27001 A.8.15 Logging für AWS CloudTrail und App-Logs?“

2. Nachweis: „Welche Nachweise belegen die Einhaltung von A.8.15 für einen Auditor?“

3. Verifizierung: „Erstelle eine Checkliste für die quartalsweise Protokollprüfung, um die Wirksamkeit von A.8.15 zu verifizieren und Nachweise zu führen.“

4. Dokumentieren: „Entwirf den Abschnitt 'Protokollierung' unserer ISMS-Dokumentation mit Bezug auf diese Kontrollen und Nachweise.“

End-to-End-Implementierung in einem einzigen Konversationsstrang.

Effektive Follow-Up-Techniken

Bezugnahme auf vorherige Ergebnisse

Nutzen Sie Formulierungen, die das Gedächtnis der Konversation nutzen:

• „Vertiefe den dritten Punkt aus deiner letzten Antwort.“

• „Wende die Risikomethodik, die wir gerade besprochen haben, auf Datenbankverschlüsselung an.“

• „Aktualisiere den Richtlinienentwurf, um diese Nachweisanforderungen aufzunehmen.“

• „Füge die erwähnten Tools (Okta, AWS IAM) zur Zugriffskontrollmatrix hinzu.“

Inkrementeller Aufbau

Fügen Sie Komplexität schrittweise hinzu, anstatt alles auf einmal zu erledigen:

1. „Erstelle ein einfaches Incident-Response-Verfahren für ISO 27001 A.5.24.“

2. „Füge Kommunikationsvorlagen für interne Eskalation und Kundenbenachrichtigung hinzu.“

3. „Integriere unsere PagerDuty-Alarmierung und den Jira-Ticketing-Workflow.“

4. „Erweitere den Abschnitt zur Nachbereitung des Vorfalls um Schritte zur Ursachenanalyse.“

Das Schichten von Details verhindert überfordernde erste Ergebnisse.

Verständnis testen

Prüfen Sie die Übereinstimmung vor der umfangreichen Generierung:

• „Bevor wir die vollständige Richtlinie entwerfen, bestätige bitte: Soll sie sowohl Mitarbeiter als auch Auftragnehmer abdecken?“

• „Erfüllt dieser Ansatz sowohl ISO 27001 A.6.1 als auch unsere DSGVO-Verpflichtungen?“

• „Ist eine quartalsweise Überprüfung für SOC 2 CC6.1 ausreichend oder sollte sie monatlich erfolgen?“

Kurskorrekturen frühzeitig vornehmen, um Nacharbeit zu vermeiden.

Alternativen anfordern

Sondieren Sie Optionen innerhalb der Konversation:

• „Was ist ein alternativer Ansatz für kleinere Teams mit begrenztem Budget?“

• „Zeige mir eine vereinfachte Version für die Erstimplementierung, dann den vollständigen Enterprise-Ansatz.“

• „Vergleiche manuelle vs. automatisierte Lösungen für diese Kontrolle.“

Beispiele nach Szenario

Iteration der Richtlinienentwicklung

Turn 1: „Entwirf eine Zugriffskontrollrichtlinie für SOC 2 CC6, die Benutzerbereitstellung, Überprüfungen und Deaktivierung abdeckt.“

Turn 2: „Füge einen Abschnitt zum Privileged Access Management für Admin-Rollen in AWS und GitHub hinzu.“

Turn 3: „Ergänze Notfallzugriff-Verfahren für On-Call-Engineers mit Protokollierung nach der Nutzung.“

Turn 4: „Ändere die Überprüfungshäufigkeit von quartalsweise auf monatlich für privilegierte Konten und quartalsweise für Standardbenutzer.“

Turn 5: „Füge Verweise auf unsere Okta-SSO-Konfiguration und rollenbasierte Gruppen hinzu.“

Ergebnis: Eine umfassende, maßgeschneiderte Richtlinie, die durch Verfeinerung entstanden ist.

Gap-Analyse Deep Dive

Turn 1: „Analysiere unseren aktuellen Sicherheitsstatus im Vergleich zu ISO 27001:2022 Anhang A.8 (technische Kontrollen).“

Turn 2: „Konzentriere dich auf die identifizierten Lücken in A.8.1 (Endgeräte der Benutzer) und A.8.15 (Protokollierung).“

Turn 3: „Welche Tools erfüllen zur Schließung der Lücke beim Endgerätemanagement A.8.1 für ein Remote-First-Team mit macOS und Windows?“

Turn 4: „Erstelle einen Implementierungsplan für Jamf (macOS) und Intune (Windows), der die Anforderungen von A.8.1 adressiert.“

Turn 5: „Welche Nachweise benötigen Auditoren, um die Einhaltung von A.8.1 mit diesen Tools zu verifizieren?“

Ergebnis: Von der abstrakten Lücke über die Tool-Auswahl bis zum Implementierungsplan in einem Thread.

Multi-Framework-Abgleich

Turn 1: „Wir müssen sowohl ISO 27001 A.5.24 (Incident Management) als auch SOC 2 CC7.3-7.5 erfüllen. Wo gibt es Überschneidungen?“

Turn 2: „Erstelle einen einheitlichen Incident Response Plan, der beide Frameworks abdeckt.“

Turn 3: „Füge spezifische Abschnitte für die genannten einzigartigen SOC 2-Anforderungen hinzu (Verfügbarkeitsvorfälle und Kommunikationszeitpläne).“

Turn 4: „Füge eine Tabelle hinzu, die jeden Verfahrensschritt den relevanten ISO 27001- und SOC 2-Kontrollen für die Audit-Rückverfolgbarkeit zuordnet.“

Ergebnis: Ein effizienter Plan mit klarer Compliance-Zuordnung.

Fehlerbehebung bei der Implementierung

Turn 1: „Wie implementiere ich MFA für ISO 27001 A.5.17 mit Okta?“

Turn 2: „Wir haben Legacy-Anwendungen, die kein SAML unterstützen. Wie gehen wir mit diesen um?“

Turn 3: „Schlage eine kompensierende Kontrolle für die Legacy-Apps vor, bis wir diese migrieren können.“

Turn 4: „Dokumentiere den Ansatz der kompensierenden Kontrolle für die Audit-Prüfung, einschließlich des Zeitplans für die vollständige MFA-Migration.“

Ergebnis: Pragmatische Lösung unter Berücksichtigung technischer Einschränkungen.

Umgang mit langen Konversationen

Wann Sie fortfahren und wann Sie neu starten sollten

Setzen Sie die Konversation fort, wenn Sie:

• Auf vorherigen Ergebnissen aufbauen (Richtlinie verfeinern, Verfahren erweitern)

• Zusammenhängende Kontrollen nacheinander abarbeiten (A.5.1 → A.5.2 → A.5.3)

• An einem einzelnen Endergebnis iterieren (Verfeinerung der Risikobewertung)

• Fehler bei der Implementierung einer bereits besprochenen Kontrolle beheben

• Die Konversation noch unter 15-20 Nachrichten liegt

Starten Sie eine neue Konversation, wenn:

• Sie zu einem nicht zusammenhängenden Framework oder Bereich wechseln (SOC 2 → DSGVO)

• Eine andere Projektphase beginnt (Wechsel von Implementierung zu Audit-Vorbereitung)

• Der Kontext zu komplex wird (über 10 Hin-und-Her-Wechsel zu mehreren Themen)

• Sie einen sauberen Neustart ohne vorherige Annahmen benötigen

• Die Konversation über 20 Nachrichten hat (Nutzungseffizienz, bis die Kompaktierung verfügbar ist)

Zusammenfassungen zur Klarheit

Fassen Sie in langen Konversationen regelmäßig zusammen:

Beispiel: „Um unsere bisherigen Entscheidungen zu bestätigen: Wir nutzen RBAC mit 5 Rollen (Admin, Entwickler, Sales, Support, Auftragnehmer), quartalsweise Zugriffskontrollen (monatlich für Admins), Okta SSO für alle Apps außer dem Legacy-CRM, das kompensierende Kontrollen erhält. Lassen Sie uns nun die formelle Richtlinie entwerfen.“

Dies stellt das gemeinsame Verständnis wieder her und verhindert Abweichungen.

Kombination von Iteration mit anderen Techniken

Iteration + Custom Instructions

Legen Sie Workspace-Anweisungen fest, um einen konsistenten Kontext über alle Turns hinweg zu gewährleisten:

Anweisung: „Healthcare SaaS, 80 Mitarbeiter, AWS-Infrastruktur, Implementierung von ISO 27001:2022 mit HIPAA-Abgleich, Audit in 8 Monaten.“

Abfolge der Abfragen: Jede Abfrage übernimmt diesen Kontext, ohne ihn neu zu formulieren.

Iteration + Datei-Uploads

Einmal hochladen, während der gesamten Konversation darauf beziehen:

1. Upload: Aktuelle Zugriffskontrollrichtlinie anhängen (PDF)

2. Turn 1: „Prüfe diese Richtlinie gegen SOC 2 CC6 und identifiziere Lücken.“

3. Turn 2: „Schreibe den Abschnitt zur Zugriffsüberprüfung um, um die gefundenen Lücken zu schließen.“

4. Turn 3: „Füge die erwähnten Nachweisanforderungen in einen neuen Anhang A ein.“

Iteration + Personas

Wechseln Sie die Persona mitten in der Konversation für neue Perspektiven:

1. Implementierer-Persona: „Gib mir eine Schritt-für-Schritt MFA-Implementierung für Okta.“

2. Auditor-Persona: „Überprüfe diesen Implementierungsplan – welche Nachweise werden fehlen?“

3. Berater-Persona: „Wie rechtfertige ich die Implementierungskosten vor unserem CFO?“

Mehrere Blickwinkel auf dasselbe Thema in einem Thread.

Erkennen von abnehmendem Nutzen

Hören Sie mit der Iteration auf, wenn:

• Sie Mikro-Anpassungen vornehmen, die die Audit-Bereitschaft nicht verbessern

• Follow-ups den vorherigen Kontext nicht mehr genau einbeziehen (Zeichen für Konversations-Überlastung)

• Sie dieselbe Frage mehrfach neu formuliert stellen

• Die Ergebnisse weniger nützlich oder generischer werden

Speichern Sie zu diesem Zeitpunkt die beste Version und gehen Sie zur Implementierung über oder starten Sie eine neue Konversation.

Iterative Arbeit speichern

Best Practices zur Sicherung von Konversationsergebnissen:

• Kopieren Sie finale Versionen nach jeder größeren Verfeinerung in Ihr Dokumentations-Repository

• Nutzen Sie die Konversation als Audit-Trail, der zeigt, wie sich die Richtlinie/das Verfahren entwickelt hat

• Exportieren Sie wichtige Antworten zur Überprüfung mit Stakeholdern vor weiteren Iterationen

• Benennen Sie Workspaces klar, um Konversationen später wiederzufinden („ISO 27001 – Zugriffskontrollen – Kunde ABC“)

Nächste Schritte

Starten Sie eine Multi-Turn-Konversation für Ihre nächste Compliance-Aufgabe. Beginnen Sie mit einer allgemeinen Abfrage und nutzen Sie dann 3-5 Follow-ups, um das Ergebnis in ein ausführungsreifes Dokument zu verwandeln. Achten Sie darauf, wie die Kontexterhaltung die Qualität beschleunigt.

Zurück zur Übersicht Prompt Engineering