
# Prompttervezés megbízható AI által generált biztonsági kérdőív válaszokhoz

## Bevezetés  

A biztonsági kérdőívek sok SaaS cég számára szűk keresztmetszetet jelentenek. Egyetlen beszállítói értékelés tucatnyi részletes kérdést tartalmazhat az adatvédelemről, incidenskezelésről, hozzáférés‑ellenőrzésről és egyebekről. A kézi válaszgenerálás időigényes, hibára hajlamos, és gyakran duplikált munkát eredményez a csapatok között.  

A nagy nyelvi modellek (LLM‑ek), mint a GPT‑4, Claude vagy a Llama 2, képesek másodpercek alatt magas színvonalú narratív válaszokat készíteni. Azonban a modell erejének közvetlen kérdőívre történő alkalmazása ritkán ad megbízható eredményeket. A nyers kimenet eltérhet a szabályzat nyelvezetétől, kihagyhat kritikus pontokat, vagy olyan bizonyítékot „hallucinál”, amely nem létezik.  

**Prompttervezés** – az LLM‑et irányító szöveg megalkotásának fegyelmezett gyakorlata – hidat képez a nyers generatív képesség és a biztonsági csapatok által megkövetelt szigorú megfelelőségi előírások között. Ebben a cikkben egy újrahasználható prompttervezési keretrendszert bontunk le, amely egy LLM‑et megbízható asszisztenssé alakít a biztonsági kérdőív‑automatizáláshoz.  

A következő témákat járjuk körül:

* Hogyan ágyazzuk be a szabályzat tudását közvetlenül a promptba  
* Technikák a hangnem, hossz és struktúra szabályozására  
* Automatikus ellenőrző hurkok, amelyek a következetlenségeket még a felülvizsgálóhoz való eljuttatás előtt felfedik  
* Integrációs minták a Procurize‑hoz hasonló platformokhoz, beleértve egy Mermaid munkafolyamat‑ábrát  

A végére a gyakorlati szakemberek egy konkrét, azonnal alkalmazható eszköztárat fognak birtokolni, amellyel 50 %‑70 % közötti csökkenést érhetnek el a kérdőív‑feldolgozási időben, miközben növelik a válaszok pontosságát.

---

## 1. A Prompt Tájának Megértése  

### 1.1 Prompt Típusok  

| Prompt Típus | Cél | Példa |
|--------------|------|-------|
| **Környezeti Prompt** | A LLM‑nek releváns szabályzati részleteket, szabványokat és definíciókat ad | “Az alábbi részletet a [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) szabályzatunkból a nyugalomban történő titkosításról...” |
| **Utasítási Prompt** | Pontosan megmondja a modellnek, hogyan legyen formázva a válasz | “Írja meg a választ három rövid bekezdésben, mindegyik félkövér címmel kezdve.” |
| **Korlátozó Prompt** | Kemény határokat szab, pl. szószám vagy tiltott szavak | “Ne lépje túl a 250 szót, és kerülje a ‘talán’ szó használatát.” |
| **Ellenőrző Prompt** | Ellenőrzőlistát generál, amelynek a válasznak meg kell felelnie | “A válasz megírása után sorolja fel azokat a szabályzat‑szakaszokat, amelyekre nem hivatkozott.” |

Egy robusztus kérdőív‑válasz csővezeték általában több ilyen prompt‑típust fűz össze egyetlen kérésben, vagy többlépéses megközelítést (prompt‑válasz‑újraprompt) használ.

### 1.2 Miért Buknak az Egyszeri Promptok  

Egy naiv egyszeri prompt, mint például *„Válaszold meg a következő biztonsági kérdést”*, gyakran:

* **Kihagyás** – fontos szabályzati hivatkozások kimaradnak.  
* **Hallucináció** – a modell nem létező ellenőrzéseket „kitalál”.  
* **Inkonzisztens nyelvezet** – a válasz informális formulázást használ, amely ellentétes a vállalat megfelelőségi hangnemével.  

A prompttervezés ezeket a kockázatokat úgy enyhíti, hogy a LLM‑nek pontosan azt az információt adja, amire szüksége van, és önellenőrzésre kéri.

---

## 2. Prompttervezési Keretrendszer Kiépítése  

Az alábbi lépésről‑lépésre keretrendszer bármely megfelelőségi platformba újrahasználható funkcióként kódolható.

### 2.1 1. lépés – Releváns Szabályzat‑Részletek Lekérése  

Keressen egy kereshető tudástárban (vektortároló, gráf‑DB vagy egyszerű kulcsszó‑index) a legrelevánsabb szabályzat‑szakaszokat.  
*Példa lekérdezés*: “nyugalomban történő titkosítás” + “[ISO 27001](https://www.iso.org/standard/27001)” vagy “SOC 2 CC6.1”.

Az eredmény például:

```
Policy Fragment A:
“All production data must be encrypted at rest using AES‑256 or an equivalent algorithm. Encryption keys are rotated every 90 days and stored in a hardware security module (HSM).”
```

### 2.2 2. lépés – Prompt Sablon Összeállítása  

Egy sablon, amely minden prompt‑típust egyesít:

```
[CONTEXT] 
{Policy Fragments}

[INSTRUCTION] 
You are a compliance specialist drafting an answer for a security questionnaire. The target audience is a senior security auditor. Follow these rules:
- Use the exact language from the policy fragments where applicable.
- Structure the answer with a short intro, a detailed body, and a concise conclusion.
- Cite each policy fragment with a reference tag (e.g., [Fragment A]).

[QUESTION] 
{Security Question Text}

[CONSTRAINT] 
- Maximum 250 words.
- Do not introduce any controls not mentioned in the fragments.
- End with a statement confirming that evidence can be provided on request.

[VERIFICATION] 
After answering, list any policy fragments that were not used and any new terminology introduced.
```

### 2.3 3. lépés – Küldés az LLM‑nek  

Az összeállított promptot küldje a kiválasztott LLM‑nek az API‑ján keresztül. Az ismételhetőség érdekében állítsa a temperatúrát = 0.2‑ra (alacsony véletlenszerűség), és a max_tokens‑t a szószám korláthoz igazítsa.

### 2.4 4. lépés – Válasz Elemzése és Ellenőrzése  

Az LLM két részt ad vissza: **válasz** és **ellenőrző lista**. Egy automatizált szkript ellenőrzi:

* Hogy az összes szükséges fragment‑címke jelen van-e.  
* Nincsenek‑e új kontroll‑nevek (összevetés egy fehérlistával).  
* A szószám betartja‑e a korlátot.

Ha bármely szabály megsérül, a szkript egy **újraprompt‑ot** indít, amely tartalmazza az ellenőrzési visszajelzést:

```
[FEEDBACK]
You missed referencing Fragment B and introduced the term “dynamic key rotation” which is not part of our policy. Please revise accordingly.
```

### 2.5 5. lépés – Bizonyíték‑Hivatkozások Csatolása  

Sikeres ellenőrzés után a rendszer automatikusan csatolja a támogató bizonyítékokra mutató linkeket (pl. titkosítási kulcs‑rotációs naplók, HSM‑tanúsítványok). A végső kimenet a Procurize „evidence hub”‑jában tárolódik, és a felülvizsgáló számára látható lesz.

---

## 3. Valós‑Világ Munkafolyamat Diagram  

Az alábbi Mermaid diagram a tipikus SaaS megfelelőségi platformon belüli vég‑a‑vég folyamatot szemlélteti.

```mermaid
graph TD
    A["User selects questionnaire"] --> B["System fetches relevant policy fragments"]
    B --> C["Prompt Builder assembles multi‑part prompt"]
    C --> D["LLM generates answer + verification checklist"]
    D --> E["Automated validator parses checklist"]
    E -->|Pass| F["Answer stored, evidence links attached"]
    E -->|Fail| G["Re‑prompt with feedback"]
    G --> C
    F --> H["Reviewers view answer in Procurize dashboard"]
    H --> I["Audit completed, response exported"]
```

Az összes csomópont címkéje dupla idézőjelek közé került, ahogyan a Mermaid szintaxis megköveteli.

---

## 4. Haladó Prompt Technika  

### 4.1 Few‑Shot Bemutatók  

Néhány *példa* Q&A pár beillesztése a promptba drámaian javíthatja a konzisztenciát. Példa:

```
Example 1:
Q: How do you protect data in transit?
A: All data in transit is encrypted using TLS 1.2 or higher, with forward‑secrecy ciphers. [Fragment C]

Example 2:
Q: Describe your incident response process.
A: Our IR plan follows the [NIST CSF](https://www.nist.gov/cyberframework) (NIST 800‑61) framework, includes a 24‑hour escalation window, and is reviewed bi‑annually. [Fragment D]
```

A modell most egy konkrét stílust kap, amelyet követni fog.

### 4.2 Láncolt‑Gondolkodás Promptálás  

Ösztönözze a modellt, hogy lépésről‑lépésre gondolkodjon a válasz megírása előtt:

```
Think about which policy fragments apply, list them, then craft the answer.
```

Ez csökkenti a hallucination‑t, és egy átlátható gondolatmenetet hoz létre, amely naplózható.

### 4.3 Retrieval‑Augmented Generation (RAG)  

Ahelyett, hogy a fragment‑eket előre lekérdeznénk, engedjük, hogy a LLM a generálás közben kérdezzen egy vektortárolót. Ez akkor hasznos, ha a szabályzat‑korpusz nagyon nagy és folyamatosan frissül.

---

## 5. Integráció a Procurize‑szal  

A Procurize jelenleg kínál:

* **Policy repository** (centralizált, verzió‑kezeltt)  
* **Questionnaire tracker** (feladatok, megjegyzések, audit‑útvonal)  
* **Evidence hub** (fájl‑tároló, automatikus hivatkozás)  

A prompttervezési csővezeték beágyazása három kulcs‑API‑hívást igényel:

1. `GET /policies/search` – a kérdés kulcsszavai alapján fragment‑ek lekérése.  
2. `POST /llm/generate` – az összeállított prompt elküldése, válasz + ellenőrzés fogadása.  
3. `POST /questionnaire/{id}/answer` – a ellenőrzött válasz benyújtása, bizonyíték‑URL‑k csatolása, és a feladat befejezettnek jelölése.

Egy könnyű Node.js wrapper például:

```javascript
async function answerQuestion(questionId) {
  const q = await api.getQuestion(questionId);
  const fragments = await api.searchPolicies(q.keywords);
  const prompt = buildPrompt(q.text, fragments);
  const { answer, verification } = await api.llmGenerate(prompt);
  if (verify(verification)) {
    await api.submitAnswer(questionId, answer, fragments.evidenceLinks);
  } else {
    const revisedPrompt = addFeedback(prompt, verification);
    // rekurzív vagy ciklusos újrapróbálás addig, amíg sikerül
  }
}
```

A UI‑ba beépítve a biztonsági elemzők egy *„Auto‑Generate Answer”* gombra kattintva láthatják a Mermaid diagramon ábrázolt lépéseket.

---

## 6. Sikermutatók Mérése  

| Mutató | Kiindulási érték | Cél a Prompttervezés után |
|--------|------------------|----------------------------|
| Átlagos válaszgenerálási idő | 45 perc | ≤ 15 perc |
| Emberi javítási arány | 22 % | ≤ 5 % |
| Szabályhivatkozási megfelelőség (címkék) | 78 % | ≥ 98 % |
| Auditori elégedettségi pontszám | 3,2/5 | ≥ 4,5/5 |

Ezeket a KPI‑ket a Procurize analitikai dashboard‑ja gyűjti. A folyamatos monitorozás lehetővé teszi a prompt‑sablonok és a szabály‑fragment kiválasztás finomhangolását.

---

## 7. Kockázatok és Megelőző Intézkedések  

| Kockázat | Tünet | Megoldás |
|----------|--------|----------|
| A prompt túl sok irreleváns fragmentet tartalmaz | A válasz eltér, a LLM válaszideje nő | Az inklúzió előtt relevancia‑küszöb (pl. koszinusz‑haszon > 0,78) bevezetése |
| Modellhőmérséklet figyelmen kívül hagyása | Időnként kreatív, de pontatlan kimenet | A megfelelőségi munkamenetekhez alacsony hőmérséklet (0,1‑0,2) rögzítése |
| A szabály‑fragment verziójának elavulása | Válaszok elavult hivatkozásokat tartalmaznak | A fragmenteket verzió‑ID‑vel tárolja, és csak a „legújabb” változatot engedélyezze, kivéve ha historikus verzió explicit kérés |
| Egyetlen ellenőrzési lépésre támaszkodás | Elmaradt széljegyek | Másodlagos szabály‑motor (pl. regex tiltott kifejezésekre) futtatása az LLM‑lépés után |

---

## 8. Jövőbeli Fejlődési Iránymutatások  

* **Dinamikus Prompt‑optimalizálás** – megerősítő tanulással automatikusan finomhangolni a prompt‑szöveget korábbi sikerarányok alapján.  
* **Több‑LLM Ensemble** – párhuzamosan lekérdezni több modellt, és a legmagasabb ellenőrzési pontszámmal rendelkező választ választani.  
* **Explainable AI Rétegek** – egy “miért ez a válasz” szekciót csatolni, amely pontos szabály‑szám‑referenciákat sorol fel, így a felülvizsgálat teljesen nyomon követhető.  

Ezek a fejlesztések a „gyors vázlat” szintjéről a „humán beavatkozás nélküli audit‑kész” állapotba emelik az automatizálást.

---

## Összegzés  

A prompttervezés nem egy egyszeri trükk; egy rendszerszintű diszciplína, amely a nagy LLM‑eket megbízható megfelelőségi asszisztensekké alakítja. Az alábbiak megvalósításával:

1. Pontosan lekérjük a releváns szabály‑fragmenteket,  
2. Több‑részes prompt‑sablont építünk, amely egyesíti a kontextust, az instrukciókat, a korlátokat és az ellenőrzést,  
3. Automatikus visszajelző hurkot hozunk létre, amely a modell ön‑korrigirálását kényszeríti,  
4. A teljes folyamatot simán integráljuk a Procurize‑hoz,

a szervezetek a kérdőív feldolgozási időt jelentősen csökkenthetik, a manuális hibákat minimalizálhatják, és a szabályozók és ügyfelek által támasztott szigorú audit‑pályákat is fenntarthatják.

Kezdje egy alacsony kockázatú kérdőív pilot projektjével, gyűjtse össze a KPI‑javulásokat, és iterálja a prompt‑sablonokat. Néhány hét alatt olyan pontosságot ér el, amelyet egy tapasztalt megfelelőségi szakember nyújt – csak töredékével a ráfordított erőfeszítésnek.

---  

## Lásd még  

- Prompttervezési legjobb gyakorlatok LLM‑ekhez  
- Retrieval‑Augmented Generation: tervezési minták és csapdák  
- Megfelelőségi automatizálás trendjei 2025‑re  
- Procurize API áttekintés és integrációs útmutató