Delegar tareas de GRC desde tu agente

Qué delegar, qué mantener local

Una prueba útil: si la respuesta depende exactamente de lo que dice un estándar o regulación, o del contexto de tu espacio de trabajo, delega. Si depende de lo que contiene tu repositorio, manténlo local y luego envía a ISMS Copilot un breve resumen de los hechos relevantes en lugar de los archivos mismos. Si tu modelo ya conoce la respuesta, no necesita búsqueda y la escribe directamente en un archivo, manténlo local también: delegar añade turnos y cuesta más uso de Claude en tareas pequeñas como esa. Consulta dónde la delegación no ayuda.

Reglas de enrutamiento, por orquestador

Cada regla a continuación tiene el mismo contenido; solo difiere el archivo. Pégala en el archivo que lee tu orquestador. Las reglas asumen que el servidor está registrado con el nombre ismscopilot, como en las guías de configuración.

Claude Code

Añade a CLAUDE.md en la raíz del proyecto, o a ~/.claude/CLAUDE.md para todos los proyectos:

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuración: Conectar ISMS Copilot a Claude Code.

Codex, OpenCode y Grok

Estos orquestadores leen AGENTS.md. Coloca la misma regla en AGENTS.md en la raíz del proyecto, o en el archivo de instrucciones globales del orquestador (por ejemplo, ~/.codex/AGENTS.md para Codex). Consulta la documentación de la versión de tu orquestador para conocer la ruta global exacta.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuración: Conectar Cursor y Codex, o Conectar cualquier cliente MCP para OpenCode y Grok.

Cursor

Crea una regla de proyecto en .cursor/rules/ismscopilot.mdc:

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuración: Conectar Cursor y Codex.

claude.ai, Claude Desktop y ChatGPT

Añade ISMS Copilot como conector personalizado (en ChatGPT, una app MCP personalizada con OAuth y la configuración predeterminada) con la URL del endpoint, luego inicia sesión y haz clic en Aprobar. Estas aplicaciones no tienen un archivo de instrucciones para la regla de enrutamiento anterior; colócala en las instrucciones del proyecto o personalizadas si la aplicación las tiene. Configuración: Conectar cualquier cliente MCP.

Patrones que funcionan

Una conversación por entregable

Inicia cada entregable (una política de control de acceso, un análisis de brechas, un lote de justificaciones de SoA) con create_conversation, luego refínalo con send_message en el mismo conversation_id. El especialista mantiene el historial del hilo en su lado, por lo que tu agente no necesita reenviar turnos anteriores. Inicia una nueva conversación para un entregable no relacionado: los hilos largos consumen más de tu ventana de uso por mensaje.

Limitar el trabajo de cliente y empresa a un espacio de trabajo

Pasa workspace_id (de list_workspaces) cuando el trabajo pertenezca a un cliente o empresa específicos. En un turno con ámbito de espacio de trabajo, ISMS Copilot lee los recuerdos y archivos de ese espacio de trabajo, por lo que tu agente no tiene que repetirlos. Sin workspace_id, el turno se ejecuta solo con tus recuerdos personales.

Recuerdos para hechos duraderos

Los hechos que deben aplicarse a cada turno futuro (el alcance de la certificación, la metodología de riesgo elegida, la fecha de auditoría) pertenecen a un recuerdo: create_memory, con workspace_id para un recuerdo de espacio de trabajo o sin él para uno personal. Los recuerdos están limitados a 500 caracteres cada uno. Usa list_memories para verificar qué hay ya antes de añadir un duplicado.

Contexto de la Empresa

set_company_context reemplaza el perfil de la empresa de la cuenta (nombre, sector, tamaño, país, rol de privacidad, tipos de datos, región de alojamiento, pila tecnológica, notas), y get_company_context lo lee. La aplicación de chat utiliza este perfil como contexto, y las conversaciones que tu agente ejecuta sobre MCP o la API de la cuenta ahora también lo obtienen, en los mismos términos que el chat web: en una conversación que tu propia cuenta inició, el perfil se añade como contexto a cada turno, y las respuestas pueden utilizar hechos de él. Solo se utiliza el perfil de tu propia cuenta, y nunca se comparte con otra cuenta. No se añade en espacios de trabajo compartidos en equipo o chats temporales, ni cuando no puede leerse (el turno se ejecuta entonces sin él). Los hechos que solo importan para una pregunta pueden seguir incluyéndose en el mensaje mismo o en una memoria del espacio de trabajo.

Fast, Think o Beyond

Una solicitud beyond que no puede ejecutarse se responde a través del flujo normal, y el resultado indica el motivo en beyond_denied_reason: plan, adp, disabled, trivial, cap o cap_anthropic. Un turno que se ejecuta en la ruta de desbordamiento por exceso de capacidad también responde a través del flujo normal en lugar de Beyond. Consulta Usar el modo Beyond.

Solicitar una respuesta adaptada para un agente

create_conversation y send_message aceptan un parámetro opcional answer_format:

Un documento completo solicitado explícitamente nunca se corta. Las ejecuciones de Beyond ignoran answer_format e indican esto con answer_format_applied: false.

Cadencia de sondeo

Cuando una llamada devuelve status: "generating", llama a get_reply con el conversation_id y message_id hasta que devuelva complete:

• Turnos Fast y Think: cada 2-5 segundos.
• Ejecuciones Beyond: cada 10-20 segundos. También puedes pasar el beyond_run_id que devolvió el ticket.

Espera una respuesta antes de enviar el siguiente mensaje en la misma conversación: un envío mientras el turno anterior aún se está generando será rechazado.

Escribir entregables largos en archivos

Cuando el especialista devuelve una política o una declaración de aplicabilidad (SoA) completa, haz que tu agente la escriba directamente en un archivo e informe la ruta. Repetir un documento largo en el chat lo duplica en el contexto de tu agente. Consulta Qué ahorra la delegación.

¿MCP o la Model API?

ISMS Copilot ofrece dos formas de acceso desde un agente de codificación. Se adaptan a diferentes tipos de trabajos.

Para el patrón de la Model API, consulta Usar la API en agentes de codificación.