Delegar trabalho de GRC do seu agente

Seu agente de codificação é o orquestrador: ele possui seu repositório, seu shell e seus arquivos. O ISMS Copilot é o especialista em GRC para o qual ele pode delegar trabalhos de conformidade através do Account MCP. Os dois trabalham em conjunto. Esta página aborda quando delegar, como instruir seu agente a fazê-lo e como manter cada turno delegado pequeno.

Quando seu agente se conecta, o servidor já envia uma breve nota de roteamento (o campo MCP instructions) indicando o que delegar e o que manter local. Os agentes nem sempre seguem essa nota, portanto, uma regra de roteamento em seu projeto ou instruções de usuário torna o comportamento confiável.

O que delegar, o que manter local

Um teste útil: se a resposta depender exatamente do que um padrão ou regulamento diz, ou do contexto do seu workspace, delegue. Se depender do que seu repositório contém, mantenha local e envie ao ISMS Copilot um breve resumo dos fatos relevantes, em vez dos próprios arquivos. Se seu modelo já souber a resposta, não precisar de consulta e gravá-la diretamente em um arquivo, mantenha local também: delegar adiciona turnos e custa mais uso do Claude em tarefas pequenas como essa. Veja onde a delegação não ajuda.

Regras de roteamento, por orquestrador

Cada regra abaixo tem o mesmo conteúdo; apenas o arquivo difere. Cole-a no arquivo que seu orquestrador lê. As regras assumem que o servidor está registrado com o nome ismscopilot, como nos guias de configuração.

Claude Code

Adicione ao CLAUDE.md na raiz do projeto, ou ao ~/.claude/CLAUDE.md para todos os projetos:

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuração: Conectar o ISMS Copilot ao Claude Code.

Codex, OpenCode e Grok

Esses orquestradores leem AGENTS.md. Coloque a mesma regra no AGENTS.md na raiz do projeto, ou no arquivo de instruções globais do orquestrador (por exemplo, ~/.codex/AGENTS.md para o Codex). Verifique a documentação da versão do seu orquestrador para o caminho global exato.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuração: Conectar Cursor e Codex, ou Conectar qualquer cliente MCP para OpenCode e Grok.

Cursor

Crie uma regra de projeto em .cursor/rules/ismscopilot.mdc:

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuração: Conectar Cursor e Codex.

claude.ai, Claude Desktop e ChatGPT

Adicione o ISMS Copilot como um conector personalizado (no ChatGPT, um app MCP personalizado com OAuth e configurações padrão) com a URL do endpoint, faça login e clique em Aprovar. Esses aplicativos não possuem um arquivo de instruções para a regra de roteamento acima; coloque-a nas instruções do projeto ou personalizadas, se o aplicativo as tiver. Configuração: Conectar qualquer cliente MCP.

Padrões que funcionam

Uma conversa por deliverable

Inicie cada deliverable (uma política de controle de acesso, uma análise de lacunas, um lote de justificativas de SoA) com create_conversation, depois refine-o com send_message no mesmo conversation_id. O especialista mantém o histórico da thread em seu lado, então seu agente não precisa reenviar turnos anteriores. Inicie uma nova conversa para um deliverable não relacionado: threads longas usam mais da sua janela de uso por mensagem.

Delimitar o trabalho do cliente e da empresa a um workspace

Passe workspace_id (de list_workspaces) quando o trabalho pertencer a um cliente ou empresa específica. Em um turno com escopo de workspace, o ISMS Copilot lê as memórias e arquivos desse workspace, então seu agente não precisa reafirmá-los. Sem workspace_id, o turno é executado apenas com suas memórias pessoais.

Memórias para fatos duradouros

Fatos que devem se aplicar a todos os turnos futuros (o escopo da certificação, a metodologia de risco escolhida, a data da auditoria) pertencem a uma memória: create_memory, com workspace_id para uma memória de workspace ou sem ele para uma memória pessoal. As memórias são limitadas a 500 caracteres cada. Use list_memories para verificar o que já está lá antes de adicionar um duplicado.

Contexto da Empresa

set_company_context substitui o perfil da empresa da conta (nome, setor, tamanho, país, função de privacidade, tipos de dados, região de hospedagem, pilha tecnológica, notas), e get_company_context o lê. O aplicativo de chat usa esse perfil como contexto, e as conversas que o seu agente executa via MCP ou a API da conta agora também o recebem, nas mesmas condições do chat na web: em uma conversa iniciada pela sua própria conta, o perfil é adicionado como contexto a cada turno, e as respostas podem usar fatos dele. Apenas o perfil da sua própria conta é utilizado, e ele nunca é compartilhado com outra conta. Não é adicionado em espaços de trabalho compartilhados pela equipe ou chats temporários, ou quando não pode ser lido (o turno então é executado sem ele). Fatos que importam apenas para uma pergunta ainda podem ser incluídos na própria mensagem ou em uma memória do espaço de trabalho.

Fast, Think ou Beyond

Uma solicitação beyond que não pode ser executada é respondida pelo fluxo normal, e o resultado informa o motivo em beyond_denied_reason: plan, adp, disabled, trivial, cap ou cap_anthropic. Um turno executado no caminho de estouro do limite também responde pelo fluxo normal em vez de Beyond. Veja Usando o modo Beyond.

Peça uma resposta formatada para um agente

create_conversation e send_message aceitam um answer_format opcional:

Um documento completo solicitado explicitamente nunca é cortado. Execuções Beyond ignoram answer_format e informam isso com answer_format_applied: false.

Cadência de polling

Quando uma chamada retorna status: "generating", chame get_reply com o conversation_id e message_id até que retorne complete:

• Turnos Fast e Think: a cada 2-5 segundos.
• Execuções Beyond: a cada 10-20 segundos. Você também pode passar o beyond_run_id que o ticket retornou.

Aguarde uma resposta antes de enviar a próxima mensagem na mesma conversa: um envio enquanto o turno anterior ainda está sendo gerado é rejeitado.

Escreva entregáveis longos em arquivos

Quando o especialista retorna uma política ou uma SoA completa, faça com que o seu agente a escreva diretamente em um arquivo e informe o caminho. Repetir um documento longo no chat o coloca duas vezes no contexto do seu agente. Veja O que a delegação economiza.

MCP ou a Model API?

O ISMS Copilot oferece duas formas de integração a partir de um agente de codificação. Elas são adequadas para diferentes tipos de trabalho.

Para o padrão da Model API, veja Usar a API em agentes de codificação.