Lavorare con ISMS Copilot dal tuo agente

Cosa va a ISMS Copilot, cosa resta nel tuo agente

Un test utile: se la risposta dipende esattamente da ciò che dice uno standard o un regolamento, o dal contesto del workspace, consulta ISMS Copilot. Se dipende dai fatti presenti nel repository, mantieni locale quella ricerca, poi invia a ISMS Copilot un breve riassunto dei fatti rilevanti invece dei file stessi. Per un controllo, invia il testo stesso del documento, con i segreti rimossi. Se il tuo modello conosce già la risposta, non ha bisogno di ricerche e la scrive direttamente su un file, mantienilo locale: chiamare ISMS Copilot aggiunge turni e costa più utilizzo di Claude per compiti piccoli come questo. Il lavoro di conformità che stai per finalizzare passa comunque per un controllo. Vedi dove chiamare ISMS Copilot non aiuta.

Regole di instradamento, per orchestratore

Ogni regola riportata di seguito ha lo stesso contenuto; cambia solo il file. Incollala nel file che il tuo orchestratore legge. Le regole presuppongono che il server sia registrato con il nome ismscopilot, come nelle guide di configurazione.

Claude Code

Aggiungi a CLAUDE.md nella root del progetto, o a ~/.claude/CLAUDE.md per ogni progetto:

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configurazione: Collega ISMS Copilot a Claude Code.

Codex, OpenCode e Grok

Questi orchestratore leggono AGENTS.md. Inserisci la stessa regola in AGENTS.md nella root del progetto, o nel file delle istruzioni globali dell'orchestratore (ad esempio ~/.codex/AGENTS.md per Codex). Consulta la documentazione della versione del tuo orchestratore per il percorso globale esatto.

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configurazione: Collega Cursor e Codex, o Collega qualsiasi client MCP per OpenCode e Grok.

Cursor

Crea una regola di progetto in .cursor/rules/ismscopilot.mdc:

---
description: GRC work goes to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configurazione: Collega Cursor e Codex.

claude.ai, Claude Desktop e ChatGPT

Aggiungi ISMS Copilot come connettore personalizzato (in ChatGPT, un'app MCP personalizzata con OAuth e impostazioni predefinite) con l'URL dell'endpoint, poi accedi e clicca su Approva. Queste app non hanno un file di istruzioni per la regola di instradamento sopra; inseriscila nelle istruzioni del progetto o personalizzate, se l'app le supporta. Configurazione: Collega qualsiasi client MCP.

Pattern che funzionano

Una conversazione per deliverable

Inizia ogni deliverable (una politica di controllo degli accessi, un'analisi delle lacune, un batch di giustificazioni SoA) con create_conversation, poi perfezionalo con send_message sullo stesso conversation_id. Lo specialista mantiene la cronologia del thread lato suo, quindi il tuo agente non deve reinviare i turni precedenti. Inizia una nuova conversazione per un deliverable non correlato: thread lunghi utilizzano di più la tua finestra di utilizzo per messaggio.

Limita il lavoro per clienti e aziende a un workspace

Passa workspace_id (da list_workspaces) quando il lavoro appartiene a un cliente o a un'azienda specifica. In un turno con scope di workspace, ISMS Copilot legge i ricordi e i file di quel workspace, quindi il tuo agente non deve ripeterli. Senza workspace_id, il turno viene eseguito solo sui tuoi ricordi personali.

Scegli un assistente integrato

Con un token di accesso personale, il tuo agente può indirizzare una domanda a un assistente integrato focalizzato su un framework: Cyber Resilience Act (cra), DORA (dora), EU AI Act (eu-ai-act), NIS 2 (nis2), Gestione della privacy (iso27701, copre ISO/IEC 27701) e Gestione dell'IA (iso42001, copre ISO/IEC 42001). Fagli chiamare list_assistants una volta, poi passare assistant con l'id corrispondente su create_conversation. La scelta resta legata alla conversazione, quindi i messaggi successivi non hanno bisogno di assistant. Per tutto il resto, omettilo: lo specialista generale risponde su ogni altro framework come prima. Il campo assistant di ogni risposta indica quale assistente ha risposto. Le connessioni con accesso non hanno ancora questa funzione. Dettagli: Collegare qualsiasi client MCP.

Scegli per ruolo

Gli assistenti integrati esistono anche per ruolo. Con un token di accesso personale, list_assistants li restituisce in by_job, accanto agli esperti per framework in built_in. I ruoli sono Questionnaire responder, Audit prep, Implementation lead e Incident lead; list_assistants mostra quelli attivi per il tuo account. Altri ruoli arriveranno. Scegli un ruolo quando il tuo agente ha un compito da svolgere, come rispondere a un questionario di sicurezza o prepararsi a un audit. Scegli un esperto per framework quando la domanda riguarda cosa richiede un singolo framework. Nel dubbio, ometti assistant. Nomina il framework nel messaggio e il ruolo lavora su quella base. Ogni risposta di un ruolo indica il framework di riferimento. Le connessioni con accesso non hanno ancora questa funzione.

Ricordi per fatti duraturi

I fatti che dovrebbero applicarsi a ogni turno futuro (l'ambito di certificazione, la metodologia di rischio scelta, la data dell'audit) appartengono a un ricordo: create_memory, con workspace_id per un ricordo di workspace o senza per uno personale. I ricordi sono limitati a 500 caratteri ciascuno. Usa list_memories per verificare cosa è già presente prima di aggiungere un duplicato.

Contesto Aziendale

set_company_context sostituisce il profilo aziendale dell'account (nome, settore, dimensione, paese, ruolo privacy, tipi di dati, regione di hosting, stack tecnologico, note), e get_company_context lo legge. Con un workspace_id, entrambi agiscono invece sull'azienda collegata a quel workspace (aziende e collegamenti: vedi Token, ambiti e sicurezza). Le conversazioni che il tuo agente esegue tramite MCP o l'API dell'account ricevono un profilo alle stesse condizioni della chat web, come contesto di ogni turno di una conversazione avviata dal tuo account, e le risposte possono usarne i dati: fuori da qualsiasi workspace, il profilo dell'account; in un workspace personale, solo l'azienda collegata, e nessun profilo se non ne è collegata alcuna. Vengono usati solo i profili del tuo account, e non vengono mai condivisi con un altro account. Il profilo dell'account non viene aggiunto nei workspace né nelle chat temporanee, e nessun profilo viene aggiunto quando non può essere letto (il turno procede allora senza). I fatti che contano solo per una domanda possono comunque essere inseriti nel messaggio stesso o in una memoria dello spazio di lavoro.

Fast, Think o Beyond

Una richiesta beyond che non può essere eseguita viene risposta attraverso il flusso normale, e il risultato indica il motivo in beyond_denied_reason: plan, adp, disabled, trivial, cap o cap_anthropic. Un turno che viene eseguito sul percorso di overflow oltre il limite risponde anch'esso attraverso il flusso normale invece di Beyond. Vedi Utilizzo della modalità Beyond.

Richiedi una risposta strutturata per un agente

create_conversation e send_message accettano un parametro opzionale answer_format:

Un documento completo richiesto esplicitamente non viene mai tagliato. Le esecuzioni Beyond ignorano answer_format e lo segnalano con answer_format_applied: false.

Frequenza di polling

Quando una chiamata restituisce status: "generating", chiama get_reply con conversation_id e message_id finché non restituisce complete:

• Turni Fast e Think: ogni 2-5 secondi.
• Esecuzioni Beyond: ogni 10-20 secondi. Puoi anche passare il beyond_run_id restituito dal ticket.

Attendi una risposta prima di inviare il messaggio successivo sulla stessa conversazione: un invio mentre il turno precedente è ancora in generazione viene rifiutato.

Scrivi deliverable lunghi su file

Quando lo specialista restituisce una policy o una SoA completa, fai scrivere direttamente al tuo agente il documento su un file e segnala il percorso. Ripetere un documento lungo nella chat lo inserisce due volte nel contesto del tuo agente. Vedi Cosa si risparmia chiamando ISMS Copilot.

MCP o Model API?

ISMS Copilot offre due modi per accedere da un agente di codifica. Si adattano a lavori diversi.

Per il pattern Model API, vedi Utilizza l'API negli agenti di codifica.