Trabaja con ISMS Copilot desde tu agente

Qué va a ISMS Copilot, qué se queda en tu agente

Una prueba útil: si la respuesta depende exactamente de lo que dice un estándar o regulación, o del contexto de tu espacio de trabajo, consulta a ISMS Copilot. Si depende de hechos de tu repositorio, mantén esa búsqueda local y luego envía a ISMS Copilot un breve resumen de los hechos relevantes en lugar de los archivos mismos. Para una revisión, envía el texto del documento en sí, sin los secretos. Si tu modelo ya conoce la respuesta, no necesita búsqueda y la escribe directamente en un archivo, manténlo local también: llamar a ISMS Copilot añade turnos y cuesta más uso de Claude en tareas pequeñas como esa. El trabajo de cumplimiento que estás a punto de finalizar sigue pasando por una revisión. Consulta dónde llamar a ISMS Copilot no ayuda.

Reglas de enrutamiento, por orquestador

Cada regla a continuación tiene el mismo contenido; solo difiere el archivo. Pégala en el archivo que lee tu orquestador. Las reglas asumen que el servidor está registrado con el nombre ismscopilot, como en las guías de configuración.

Claude Code

Añade a CLAUDE.md en la raíz del proyecto, o a ~/.claude/CLAUDE.md para todos los proyectos:

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuración: Conectar ISMS Copilot a Claude Code.

Codex, OpenCode y Grok

Estos orquestadores leen AGENTS.md. Coloca la misma regla en AGENTS.md en la raíz del proyecto, o en el archivo de instrucciones globales del orquestador (por ejemplo, ~/.codex/AGENTS.md para Codex). Consulta la documentación de la versión de tu orquestador para conocer la ruta global exacta.

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuración: Conectar Cursor y Codex, o Conectar cualquier cliente MCP para OpenCode y Grok.

Cursor

Crea una regla de proyecto en .cursor/rules/ismscopilot.mdc:

---
description: GRC work goes to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuración: Conectar Cursor y Codex.

claude.ai, Claude Desktop y ChatGPT

Añade ISMS Copilot como conector personalizado (en ChatGPT, una app MCP personalizada con OAuth y la configuración predeterminada) con la URL del endpoint, luego inicia sesión y haz clic en Aprobar. Estas aplicaciones no tienen un archivo de instrucciones para la regla de enrutamiento anterior; colócala en las instrucciones del proyecto o personalizadas si la aplicación las tiene. Configuración: Conectar cualquier cliente MCP.

Patrones que funcionan

Una conversación por entregable

Inicia cada entregable (una política de control de acceso, un análisis de brechas, un lote de justificaciones de SoA) con create_conversation, luego refínalo con send_message en el mismo conversation_id. El especialista mantiene el historial del hilo en su lado, por lo que tu agente no necesita reenviar turnos anteriores. Inicia una nueva conversación para un entregable no relacionado: los hilos largos consumen más de tu ventana de uso por mensaje.

Limitar el trabajo de cliente y empresa a un espacio de trabajo

Pasa workspace_id (de list_workspaces) cuando el trabajo pertenezca a un cliente o empresa específicos. En un turno con ámbito de espacio de trabajo, ISMS Copilot lee los recuerdos y archivos de ese espacio de trabajo, por lo que tu agente no tiene que repetirlos. Sin workspace_id, el turno se ejecuta solo con tus recuerdos personales.

Elegir un asistente integrado

Con un token de acceso personal, tu agente puede dirigir una pregunta a un asistente integrado centrado en un marco: Cyber Resilience Act (cra), DORA (dora), EU AI Act (eu-ai-act), NIS 2 (nis2), Gestión de la privacidad (iso27701, cubre ISO/IEC 27701) y Gestión de la IA (iso42001, cubre ISO/IEC 42001). Haz que llame una vez a list_assistants y luego pase assistant con el id correspondiente en create_conversation. La elección queda fijada a la conversación, así que los seguimientos no necesitan assistant. Para todo lo demás, omítelo: el especialista general responde sobre cualquier otro marco como antes. El campo assistant de cada respuesta indica qué asistente respondió. Las conexiones con inicio de sesión todavía no tienen esto. Detalles: Conectar cualquier cliente MCP.

Elegir por tarea

Los asistentes integrados también existen por tarea. Con un token de acceso personal, list_assistants los devuelve como by_job, junto a los expertos por marco en built_in. Las tareas son Questionnaire responder, Audit prep, Implementation lead e Incident lead; list_assistants muestra los que están activados en tu cuenta. Habrá más roles. Elige una tarea cuando tu agente tenga algo que hacer, como responder un cuestionario de seguridad o preparar una auditoría. Elige un experto por marco cuando la pregunta sea sobre lo que exige un marco concreto. Si tienes dudas, omite assistant. Nombra el marco en el mensaje y el rol trabaja con él. Cada respuesta de un rol indica el marco con el que trabajó. Las conexiones con inicio de sesión todavía no tienen esto.

Recuerdos para hechos duraderos

Los hechos que deben aplicarse a cada turno futuro (el alcance de la certificación, la metodología de riesgo elegida, la fecha de auditoría) pertenecen a un recuerdo: create_memory, con workspace_id para un recuerdo de espacio de trabajo o sin él para uno personal. Los recuerdos están limitados a 500 caracteres cada uno. Usa list_memories para verificar qué hay ya antes de añadir un duplicado.

Contexto de la Empresa

set_company_context reemplaza el perfil de la empresa de la cuenta (nombre, sector, tamaño, país, rol de privacidad, tipos de datos, región de alojamiento, pila tecnológica, notas), y get_company_context lo lee. Con un workspace_id, ambas actúan en cambio sobre la empresa vinculada a ese espacio de trabajo (empresas y vínculos: consulta Tokens, ámbitos y seguridad). Las conversaciones que tu agente ejecuta a través de MCP o de la API de la cuenta reciben un perfil en las mismas condiciones que el chat web, como contexto de cada turno de una conversación iniciada por tu propia cuenta, y las respuestas pueden usar datos de él: fuera de cualquier espacio de trabajo, el perfil de la cuenta; en un espacio de trabajo personal, solo la empresa vinculada a él, y ningún perfil si no hay ninguna vinculada. Solo se usan los perfiles de tu propia cuenta, y nunca se comparten con otra cuenta. El perfil de la cuenta no se añade dentro de los espacios de trabajo ni en los chats temporales, y no se añade ningún perfil cuando no se puede leer (el turno se ejecuta entonces sin él). Los hechos que solo importan para una pregunta pueden seguir incluyéndose en el mensaje mismo o en una memoria del espacio de trabajo.

Fast, Think o Beyond

Una solicitud beyond que no puede ejecutarse se responde a través del flujo normal, y el resultado indica el motivo en beyond_denied_reason: plan, adp, disabled, trivial, cap o cap_anthropic. Un turno que se ejecuta en la ruta de desbordamiento por exceso de capacidad también responde a través del flujo normal en lugar de Beyond. Consulta Usar el modo Beyond.

Solicitar una respuesta adaptada para un agente

create_conversation y send_message aceptan un parámetro opcional answer_format:

Un documento completo solicitado explícitamente nunca se corta. Las ejecuciones de Beyond ignoran answer_format e indican esto con answer_format_applied: false.

Cadencia de sondeo

Cuando una llamada devuelve status: "generating", llama a get_reply con el conversation_id y message_id hasta que devuelva complete:

• Turnos Fast y Think: cada 2-5 segundos.
• Ejecuciones Beyond: cada 10-20 segundos. También puedes pasar el beyond_run_id que devolvió el ticket.

Espera una respuesta antes de enviar el siguiente mensaje en la misma conversación: un envío mientras el turno anterior aún se está generando será rechazado.

Escribir entregables largos en archivos

Cuando el especialista devuelve una política o una declaración de aplicabilidad (SoA) completa, haz que tu agente la escriba directamente en un archivo e informe la ruta. Repetir un documento largo en el chat lo duplica en el contexto de tu agente. Consulta Qué ahorra llamar a ISMS Copilot.

¿MCP o la Model API?

ISMS Copilot ofrece dos formas de acceso desde un agente de codificación. Se adaptan a diferentes tipos de trabajos.

Para el patrón de la Model API, consulta Usar la API en agentes de codificación.