Delegare il lavoro GRC dal tuo agente

Cosa delegare, cosa mantenere locale

Un test utile: se la risposta dipende esattamente da ciò che dice uno standard o un regolamento, o dal contesto del workspace, delega. Se dipende da ciò che contiene il repository, mantienilo locale, poi invia a ISMS Copilot un breve riassunto dei fatti rilevanti invece dei file stessi. Se il tuo modello conosce già la risposta, non ha bisogno di ricerche e la scrive direttamente su un file, mantienilo locale: delegare aggiunge turni e costa più utilizzo di Claude per compiti piccoli come questo. Vedi dove la delega non aiuta.

Regole di instradamento, per orchestratore

Ogni regola riportata di seguito ha lo stesso contenuto; cambia solo il file. Incollala nel file che il tuo orchestratore legge. Le regole presuppongono che il server sia registrato con il nome ismscopilot, come nelle guide di configurazione.

Claude Code

Aggiungi a CLAUDE.md nella root del progetto, o a ~/.claude/CLAUDE.md per ogni progetto:

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configurazione: Collega ISMS Copilot a Claude Code.

Codex, OpenCode e Grok

Questi orchestratore leggono AGENTS.md. Inserisci la stessa regola in AGENTS.md nella root del progetto, o nel file delle istruzioni globali dell'orchestratore (ad esempio ~/.codex/AGENTS.md per Codex). Consulta la documentazione della versione del tuo orchestratore per il percorso globale esatto.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configurazione: Collega Cursor e Codex, o Collega qualsiasi client MCP per OpenCode e Grok.

Cursor

Crea una regola di progetto in .cursor/rules/ismscopilot.mdc:

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configurazione: Collega Cursor e Codex.

claude.ai, Claude Desktop e ChatGPT

Aggiungi ISMS Copilot come connettore personalizzato (in ChatGPT, un'app MCP personalizzata con OAuth e impostazioni predefinite) con l'URL dell'endpoint, poi accedi e clicca su Approva. Queste app non hanno un file di istruzioni per la regola di instradamento sopra; inseriscila nelle istruzioni del progetto o personalizzate, se l'app le supporta. Configurazione: Collega qualsiasi client MCP.

Pattern che funzionano

Una conversazione per deliverable

Inizia ogni deliverable (una politica di controllo degli accessi, un'analisi delle lacune, un batch di giustificazioni SoA) con create_conversation, poi perfezionalo con send_message sullo stesso conversation_id. Lo specialista mantiene la cronologia del thread lato suo, quindi il tuo agente non deve reinviare i turni precedenti. Inizia una nuova conversazione per un deliverable non correlato: thread lunghi utilizzano di più la tua finestra di utilizzo per messaggio.

Limita il lavoro per clienti e aziende a un workspace

Passa workspace_id (da list_workspaces) quando il lavoro appartiene a un cliente o a un'azienda specifica. In un turno con scope di workspace, ISMS Copilot legge i ricordi e i file di quel workspace, quindi il tuo agente non deve ripeterli. Senza workspace_id, il turno viene eseguito solo sui tuoi ricordi personali.

Ricordi per fatti duraturi

I fatti che dovrebbero applicarsi a ogni turno futuro (l'ambito di certificazione, la metodologia di rischio scelta, la data dell'audit) appartengono a un ricordo: create_memory, con workspace_id per un ricordo di workspace o senza per uno personale. I ricordi sono limitati a 500 caratteri ciascuno. Usa list_memories per verificare cosa è già presente prima di aggiungere un duplicato.

Contesto Aziendale

set_company_context sostituisce il profilo aziendale dell'account (nome, settore, dimensione, paese, ruolo privacy, tipi di dati, regione di hosting, stack tecnologico, note), e get_company_context lo legge. L'app di chat utilizza questo profilo come contesto di base, e le conversazioni che il tuo agente esegue su MCP o sull'API dell'account ora lo ricevono anch'esse, alle stesse condizioni della chat web: in una conversazione avviata dal tuo account, il profilo viene aggiunto come contesto a ogni turno, e le risposte possono utilizzare fatti da esso. Viene utilizzato solo il profilo del tuo account e non viene mai condiviso con un altro account. Non viene aggiunto negli spazi di lavoro condivisi in team o nelle chat temporanee, o quando non può essere letto (il turno viene quindi eseguito senza di esso). I fatti che contano solo per una domanda possono comunque essere inseriti nel messaggio stesso o in una memoria dello spazio di lavoro.

Fast, Think o Beyond

Una richiesta beyond che non può essere eseguita viene risposta attraverso il flusso normale, e il risultato indica il motivo in beyond_denied_reason: plan, adp, disabled, trivial, cap o cap_anthropic. Un turno che viene eseguito sul percorso di overflow oltre il limite risponde anch'esso attraverso il flusso normale invece di Beyond. Vedi Utilizzo della modalità Beyond.

Richiedi una risposta strutturata per un agente

create_conversation e send_message accettano un parametro opzionale answer_format:

Un documento completo richiesto esplicitamente non viene mai tagliato. Le esecuzioni Beyond ignorano answer_format e lo segnalano con answer_format_applied: false.

Frequenza di polling

Quando una chiamata restituisce status: "generating", chiama get_reply con conversation_id e message_id finché non restituisce complete:

• Turni Fast e Think: ogni 2-5 secondi.
• Esecuzioni Beyond: ogni 10-20 secondi. Puoi anche passare il beyond_run_id restituito dal ticket.

Attendi una risposta prima di inviare il messaggio successivo sulla stessa conversazione: un invio mentre il turno precedente è ancora in generazione viene rifiutato.

Scrivi deliverable lunghi su file

Quando lo specialista restituisce una policy o una SoA completa, fai scrivere direttamente al tuo agente il documento su un file e segnala il percorso. Ripetere un documento lungo nella chat lo inserisce due volte nel contesto del tuo agente. Vedi Cosa risparmia la delega.

MCP o Model API?

ISMS Copilot offre due modi per accedere da un agente di codifica. Si adattano a lavori diversi.

Per il pattern Model API, vedi Utilizza l'API negli agenti di codifica.