Travailler avec ISMS Copilot depuis votre agent

Ce qui va à ISMS Copilot, ce qui reste dans votre agent

Un test utile : si la réponse dépend exactement de ce qu'un standard ou une réglementation dit, ou de votre contexte d'espace de travail, consultez ISMS Copilot. Si elle dépend de faits présents dans votre dépôt, gardez cette recherche en local, puis envoyez à ISMS Copilot un bref résumé des faits pertinents plutôt que les fichiers eux-mêmes. Pour une vérification, envoyez le texte du document lui-même, sans les secrets. Si votre modèle connaît déjà la réponse, n'a pas besoin de recherche et l'écrit directement dans un fichier, gardez-la également en local : appeler ISMS Copilot ajoute des tours et coûte plus d'utilisation de Claude pour des petites tâches comme celle-ci. Un travail de conformité que vous êtes sur le point de finaliser fait tout de même l'objet d'une vérification. Voir où appeler ISMS Copilot n'aide pas.

Règles de routage, par orchestrateur

Chaque règle ci-dessous a le même contenu ; seul le fichier diffère. Collez-la dans le fichier que lit votre orchestrateur. Les règles supposent que le serveur est enregistré sous le nom ismscopilot, comme dans les guides de configuration.

Claude Code

Ajoutez à CLAUDE.md à la racine du projet, ou à ~/.claude/CLAUDE.md pour chaque projet :

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuration : Connecter ISMS Copilot à Claude Code.

Codex, OpenCode et Grok

Ces orchestrateurs lisent AGENTS.md. Placez la même règle dans AGENTS.md à la racine du projet, ou dans le fichier d'instructions globales de l'orchestrateur (par exemple ~/.codex/AGENTS.md pour Codex). Vérifiez la documentation de la version de votre orchestrateur pour le chemin global exact.

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuration : Connecter Cursor et Codex, ou Connecter n'importe quel client MCP pour OpenCode et Grok.

Cursor

Créez une règle de projet dans .cursor/rules/ismscopilot.mdc :

---
description: GRC work goes to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuration : Connecter Cursor et Codex.

claude.ai, Claude Desktop et ChatGPT

Ajoutez ISMS Copilot en tant que connecteur personnalisé (dans ChatGPT, une application MCP personnalisée avec OAuth et les paramètres par défaut) avec l'URL du point de terminaison, puis connectez-vous et cliquez sur Approuver. Ces applications n'ont pas de fichier d'instructions pour la règle de routage ci-dessus ; placez-la dans les instructions du projet ou les instructions personnalisées si l'application en dispose. Configuration : Connecter n'importe quel client MCP.

Modèles qui fonctionnent

Une conversation par livrable

Commencez chaque livrable (une politique de contrôle d'accès, une analyse des écarts, un lot de justifications de SoA) par create_conversation, puis affinez-le avec send_message sur le même conversation_id. Le spécialiste conserve l'historique du fil de son côté, donc votre agent n'a pas besoin de renvoyer les tours précédents. Commencez une nouvelle conversation pour un livrable sans rapport : les fils longs utilisent plus de votre fenêtre d'utilisation par message.

Limiter le travail client et entreprise à un espace de travail

Passez workspace_id (depuis list_workspaces) lorsque le travail appartient à un client ou une entreprise spécifique. Lors d'un tour limité à un espace de travail, ISMS Copilot lit les souvenirs et fichiers de cet espace de travail, donc votre agent n'a pas à les répéter. Sans workspace_id, le tour s'exécute uniquement sur vos souvenirs personnels.

Choisir un assistant intégré

Avec un jeton d'accès personnel, votre agent peut adresser une question à un assistant intégré centré sur un référentiel : Cyber Resilience Act (cra), DORA (dora), EU AI Act (eu-ai-act), NIS 2 (nis2), Gestion de la vie privée (iso27701, couvre ISO/IEC 27701) et Gestion de l'IA (iso42001, couvre ISO/IEC 42001). Faites-lui appeler list_assistants une fois, puis passer assistant avec l'id correspondant à create_conversation. Le choix reste attaché à la conversation, donc les relances n'ont pas besoin d'assistant. Pour tout le reste, omettez-le : le spécialiste généraliste répond sur tous les autres référentiels comme avant. Le champ assistant de chaque réponse indique quel assistant a répondu. Les connexions par authentification n'ont pas encore cette option. Détails : Connecter n'importe quel client MCP.

Choisir par métier

Les assistants intégrés existent aussi par métier. Avec un jeton d'accès personnel, list_assistants les renvoie dans by_job, à côté des experts par référentiel dans built_in. Les métiers sont Questionnaire responder, Audit prep, Implementation lead et Incident lead ; list_assistants affiche ceux qui sont activés pour votre compte. D'autres rôles suivront. Choisissez un métier quand votre agent a une tâche à accomplir, par exemple répondre à un questionnaire de sécurité ou préparer un audit. Choisissez un expert par référentiel quand la question porte sur ce qu'exige un référentiel précis. En cas de doute, omettez assistant. Nommez le référentiel dans le message et le rôle travaille sur cette base. Chaque réponse d'un rôle indique le référentiel retenu. Les connexions par authentification n'ont pas encore cette option.

Mémoires pour les faits durables

Les faits qui doivent s'appliquer à chaque tour futur (le périmètre de certification, la méthodologie de risque choisie, la date d'audit) appartiennent à une mémoire : create_memory, avec workspace_id pour une mémoire d'espace de travail ou sans pour une mémoire personnelle. Les mémoires sont limitées à 500 caractères chacune. Utilisez list_memories pour vérifier ce qui s'y trouve déjà avant d'ajouter un doublon.

Contexte de l'entreprise

set_company_context remplace le profil d'entreprise du compte (nom, secteur, taille, pays, rôle en matière de confidentialité, types de données, région d'hébergement, pile technologique, notes), et get_company_context le lit. Avec un workspace_id, les deux portent plutôt sur l'entreprise liée à cet espace de travail (entreprises et liaisons : voir Jetons, étendues et sécurité). Les conversations que votre agent exécute via MCP ou l'API du compte reçoivent un profil dans les mêmes conditions que le chat web, en arrière-plan de chaque tour d'une conversation démarrée par votre propre compte, et les réponses peuvent utiliser des faits qui en proviennent : hors de tout espace de travail, le profil du compte ; dans un espace de travail personnel, uniquement l'entreprise qui lui est liée, et aucun profil si aucune n'est liée. Seuls les profils de votre propre compte sont utilisés, et ils ne sont jamais partagés avec un autre compte. Le profil du compte n'est ajouté ni dans les espaces de travail ni dans les chats temporaires, et aucun profil n'est ajouté lorsqu'il ne peut pas être lu (le tour s'exécute alors sans lui). Les faits qui ne concernent qu'une seule question peuvent toujours être inclus dans le message lui-même ou dans une mémoire d'espace de travail.

Fast, Think ou Beyond

Une demande beyond qui ne peut pas s'exécuter est traitée via le flux normal, et le résultat indique pourquoi dans beyond_denied_reason : plan, adp, disabled, trivial, cap ou cap_anthropic. Un tour s'exécutant sur le chemin de dépassement de capacité répond également via le flux normal au lieu de Beyond. Voir Utiliser le mode Beyond.

Demander une réponse adaptée à un agent

create_conversation et send_message acceptent un paramètre optionnel answer_format :

Un document complet explicitement demandé n'est jamais tronqué. Les exécutions Beyond ignorent answer_format et l'indiquent avec answer_format_applied: false.

Rythme de polling

Lorsqu'un appel retourne status: "generating", appelez get_reply avec le conversation_id et le message_id jusqu'à ce qu'il retourne complete :

• Tours Fast et Think : toutes les 2 à 5 secondes.
• Exécutions Beyond : toutes les 10 à 20 secondes. Vous pouvez également passer le beyond_run_id que le ticket a retourné.

Attendez une réponse avant d'envoyer le message suivant sur la même conversation : un envoi alors que le tour précédent est encore en cours de génération est rejeté.

Écrire les livrables longs dans des fichiers

Lorsque le spécialiste renvoie une politique ou une déclaration complète de conformité (SoA), faites en sorte que votre agent l'écrive directement dans un fichier et signale le chemin. Répéter un long document dans le chat le place deux fois dans le contexte de votre agent. Voir Ce que l'appel à ISMS Copilot économise.

MCP ou l'API Model ?

ISMS Copilot offre deux moyens d'accès depuis un agent de codage. Ils conviennent à différents types de travaux.

Pour le modèle Model API, voir Utiliser l'API dans les agents de codage.