Praca z ISMS Copilot z poziomu twojego agenta

Twój agent kodujący wykonuje pracę: zarządza twoim repozytorium, powłoką i plikami. ISMS Copilot to ekspert ds. zgodności, z którym konsultuje się za pośrednictwem konta MCP i któremu zleca sprawdzenie tej pracy. Ty decydujesz i podpisujesz. Ta strona omawia, kiedy agent wywołuje ISMS Copilot (aby się skonsultować, w trakcie pracy i aby sprawdzić przed zakończeniem), jak go o to poinstruować oraz jak utrzymywać każde wywołanie na małą skalę.

Podczas łączenia agenta serwer już wysyła krótką notatkę routingu (pole instructions w MCP), wskazującą, co trafia do ISMS Copilot, co zostaje w twoim agencie i kiedy zlecić sprawdzenie pracy. Agenci nie zawsze działają zgodnie z tą notatką, dlatego reguła routingu w projekcie lub instrukcje użytkownika zapewniają niezawodność działania.

Co trafia do ISMS Copilot, a co zostaje w twoim agencie

Przydatny test: jeśli odpowiedź zależy od dokładnej treści standardu lub regulacji albo od kontekstu obszaru roboczego, skonsultuj się z ISMS Copilot. Jeśli zależy od faktów w repozytorium, pozostaw to wyszukiwanie lokalnie, a następnie wyślij ISMS Copilot krótkie podsumowanie istotnych faktów, zamiast samych plików. Do sprawdzenia wyślij sam tekst dokumentu, z usuniętymi sekretami. Jeśli twój model już zna odpowiedź, nie potrzebuje wyszukiwania i zapisuje ją bezpośrednio do pliku, również pozostaw to lokalnie: wywołanie ISMS Copilot zwiększa liczbę tur i generuje większe zużycie Claude w przypadku małych zadań tego typu. Praca dotycząca zgodności, którą zamierzasz sfinalizować, i tak przechodzi sprawdzenie. Zobacz gdzie wywoływanie ISMS Copilot nie pomaga.

Reguły routingu, według orkiestratora

Każda reguła poniżej ma tę samą treść; różni się tylko plik. Wklej ją do pliku, który czyta twój orkiestrator. Reguły zakładają, że serwer jest zarejestrowany pod nazwą ismscopilot, jak w przewodnikach konfiguracyjnych.

Claude Code

Dodaj do CLAUDE.md w katalogu głównym projektu lub do ~/.claude/CLAUDE.md dla każdego projektu:

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Konfiguracja: Połącz ISMS Copilot z Claude Code.

Codex, OpenCode i Grok

Te orkiestratory czytają AGENTS.md. Umieść tę samą regułę w AGENTS.md w katalogu głównym projektu lub w globalnym pliku instrukcji orkiestratora (na przykład ~/.codex/AGENTS.md dla Codex). Sprawdź dokumentację swojej wersji orkiestratora, aby poznać dokładną ścieżkę globalną.

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Konfiguracja: Połącz Cursor i Codex lub Połącz dowolnego klienta MCP dla OpenCode i Grok.

Cursor

Utwórz regułę projektu w .cursor/rules/ismscopilot.mdc:

---
description: GRC work goes to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Konfiguracja: Połącz Cursor i Codex.

claude.ai, Claude Desktop i ChatGPT

Dodaj ISMS Copilot jako niestandardowy konektor (w ChatGPT jako niestandardową aplikację MCP z OAuth i ustawieniami domyślnymi) z adresem URL punktu końcowego, a następnie zaloguj się i kliknij Zatwierdź. Te aplikacje nie mają pliku instrukcji dla powyższej reguły routingu; umieść ją w projekcie lub niestandardowych instrukcjach, jeśli aplikacja je obsługuje. Konfiguracja: Połącz dowolnego klienta MCP.

Sprawdzone wzorce

Jedna rozmowa na produkt

Rozpocznij każdy produkt (politykę kontroli dostępu, analizę luk, zestaw uzasadnień SoA) od create_conversation, a następnie udoskonalaj go za pomocą send_message na tym samym conversation_id. Specjalista przechowuje historię wątku po swojej stronie, więc twój agent nie musi ponownie wysyłać wcześniejszych tur. Rozpocznij nową rozmowę dla niepowiązanego produktu: długie wątki zużywają więcej Twojego okna użytkowania na wiadomość.

Zakres prac klienta i firmy w obszarze roboczym

Przekazuj workspace_id (z list_workspaces), gdy praca należy do konkretnego klienta lub firmy. W turze z zakresem obszaru roboczego ISMS Copilot odczytuje pamięci i pliki tego obszaru, więc twój agent nie musi ich ponownie określać. Bez workspace_id tura działa tylko na Twoich osobistych pamięciach.

Wybierz wbudowanego asystenta

Z osobistym tokenem dostępu twój agent może skierować pytanie do wbudowanego asystenta skupionego na jednym frameworku: Cyber Resilience Act (cra), DORA (dora), EU AI Act (eu-ai-act), NIS 2 (nis2), Zarządzanie prywatnością (iso27701, obejmuje ISO/IEC 27701) i Zarządzanie AI (iso42001, obejmuje ISO/IEC 42001). Niech raz wywoła list_assistants, a potem przekaże assistant z odpowiednim id w create_conversation. Wybór pozostaje przypisany do rozmowy, więc kolejne pytania nie potrzebują assistant. We wszystkich innych przypadkach pomiń go: ogólny specjalista odpowiada w sprawie każdego innego frameworku jak dotychczas. Pole assistant w każdej odpowiedzi mówi, który asystent odpowiedział. Połączenia z logowaniem jeszcze tego nie mają. Szczegóły: Podłącz dowolnego klienta MCP.

Wybór według zadania

Wbudowani asystenci występują też według zadania. Z osobistym tokenem dostępu list_assistants zwraca ich jako by_job, obok ekspertów od frameworków w built_in. Zadania to Questionnaire responder, Audit prep, Implementation lead i Incident lead; list_assistants pokazuje te, które są włączone na twoim koncie. Kolejne role pojawią się później. Wybierz zadanie, gdy twój agent ma coś do wykonania, na przykład odpowiedź na kwestionariusz bezpieczeństwa albo przygotowanie do audytu. Wybierz eksperta od frameworku, gdy pytanie dotyczy tego, czego wymaga jeden framework. W razie wątpliwości pomiń assistant. Wymień framework w wiadomości, a rola będzie się do niego stosować. Każda odpowiedź roli podaje framework, na którym się oparła. Połączenia z logowaniem jeszcze tego nie mają.

Pamięci dla trwałych faktów

Fakty, które powinny obowiązywać w każdej przyszłej turze (zakres certyfikacji, wybrana metodologia ryzyka, data audytu), należą do pamięci: create_memory, z workspace_id dla pamięci obszaru roboczego lub bez niego dla osobistej. Pamięci są ograniczone do 500 znaków każda. Użyj list_memories, aby sprawdzić, co już tam jest, zanim dodasz duplikat.

Kontekst firmy

set_company_context zastępuje profil firmy konta (nazwa, sektor, rozmiar, kraj, rola prywatności, typy danych, region hostingu, stos technologiczny, notatki), a get_company_context go odczytuje. Z parametrem workspace_id oba narzędzia działają zamiast tego na firmie powiązanej z tą przestrzenią roboczą (firmy i powiązania: zobacz Tokeny, zakresy i bezpieczeństwo). Rozmowy prowadzone przez Twojego agenta przez MCP lub API konta otrzymują profil na tych samych zasadach co czat webowy, jako tło każdej tury rozmowy rozpoczętej przez Twoje własne konto, a odpowiedzi mogą korzystać z zawartych w nim faktów: poza przestrzenią roboczą profil konta; w osobistej przestrzeni roboczej tylko powiązaną z nią firmę, a żadnego profilu, gdy żadna nie jest powiązana. Używane są wyłącznie profile Twojego własnego konta i nigdy nie są udostępniane innemu kontu. Profil konta nie jest dodawany w przestrzeniach roboczych ani w czatach tymczasowych, a żaden profil nie jest dodawany, gdy nie można go odczytać (tura przebiega wtedy bez niego). Fakty istotne tylko dla jednego pytania mogą nadal znaleźć się w samej wiadomości lub w pamięci przestrzeni roboczej.

Fast, Think lub Beyond

Żądanie beyond, które nie może zostać wykonane, jest obsługiwane przez normalny przepływ, a wynik zawiera powód w beyond_denied_reason: plan, adp, disabled, trivial, cap lub cap_anthropic. Tura działająca na ścieżce przepełnienia ponad limit również odpowiada przez normalny przepływ zamiast Beyond. Zobacz Korzystanie z trybu Beyond.

Poproś o odpowiedź dostosowaną do agenta

create_conversation i send_message przyjmują opcjonalny parametr answer_format:

Jawnie zażądany pełny dokument nigdy nie jest skracany. Uruchomienia Beyond ignorują answer_format i informują o tym za pomocą answer_format_applied: false.

Częstotliwość odpytywania

Gdy wywołanie zwraca status: "generating", wywołuj get_reply z conversation_id i message_id, aż zwróci complete:

• Tury Fast i Think: co 2-5 sekund.
• Uruchomienia Beyond: co 10-20 sekund. Możesz również przekazać beyond_run_id, który zwrócił bilet.

Poczekaj na odpowiedź, zanim wyślesz kolejną wiadomość w tej samej rozmowie: wysłanie wiadomości, gdy poprzednia tura jest nadal generowana, zostanie odrzucone.

Zapisuj długie dokumenty do plików

Gdy specjalista zwraca politykę lub pełne SoA, spraw, aby Twój agent zapisał ją bezpośrednio do pliku i zgłosił ścieżkę. Powtarzanie długiego dokumentu w czacie powoduje jego dwukrotne umieszczenie w kontekście Twojego agenta. Zobacz Co oszczędza wywoływanie ISMS Copilot.

MCP czy Model API?

ISMS Copilot oferuje dwa sposoby dostępu z poziomu agenta kodującego. Nadają się do różnych zadań.

| | Account MCP | Podagent Model API | | --- | --- | | Poświadczenie | Osobisty token dostępu pat-isms-… | Klucz API sk-isms-… | | Rozliczenia | Twój plan ISMS Copilot, ten sam limit użycia co aplikacja czatu | Przedpłacone kredyty API | | Stan | Stanowy: rozmowy, przestrzenie robocze, pamięci, pliki | Bezstanowy: każde zakończenie jest niezależne | | Narzędzia w Twoim agencie | Tak, natywne narzędzia MCP | Nie: endpoint to tekst na wejściu, tekst na wyjściu, wywoływany ze skryptu lub kroku | | Najlepsze do | Pracy interaktywnej, w której Ty i Twój agent udoskonalacie produkt końcowy przez kilka tur | Stałych, powtarzalnych kroków zgodności w skryptach, CI lub automatyzacji |

Aby poznać wzorzec Model API, zobacz Użycie API w agentach kodujących.