Trabalhar com o ISMS Copilot a partir do seu agente

Seu agente de codificação faz o trabalho: ele possui seu repositório, seu shell e seus arquivos. O ISMS Copilot é o especialista em conformidade que ele consulta através do Account MCP e a quem pede para verificar esse trabalho. Você decide e assina. Esta página aborda quando seu agente chama o ISMS Copilot (para consultar, durante o trabalho e para verificar antes de terminar), como instruí-lo a fazê-lo e como manter cada chamada pequena.

Quando seu agente se conecta, o servidor já envia uma breve nota de roteamento (o campo MCP instructions) indicando o que vai para o ISMS Copilot, o que fica com seu agente e quando pedir a verificação do trabalho. Os agentes nem sempre seguem essa nota, portanto, uma regra de roteamento em seu projeto ou instruções de usuário torna o comportamento confiável.

O que vai para o ISMS Copilot, o que fica com seu agente

Um teste útil: se a resposta depender exatamente do que um padrão ou regulamento diz, ou do contexto do seu workspace, consulte o ISMS Copilot. Se depender de fatos do seu repositório, mantenha essa consulta local e envie ao ISMS Copilot um breve resumo dos fatos relevantes, em vez dos próprios arquivos. Para uma verificação, envie o próprio texto do documento, sem segredos. Se seu modelo já souber a resposta, não precisar de consulta e gravá-la diretamente em um arquivo, mantenha local também: chamar o ISMS Copilot adiciona turnos e custa mais uso do Claude em tarefas pequenas como essa. O trabalho de conformidade que você está prestes a finalizar ainda passa por uma verificação. Veja onde chamar o ISMS Copilot não ajuda.

Regras de roteamento, por orquestrador

Cada regra abaixo tem o mesmo conteúdo; apenas o arquivo difere. Cole-a no arquivo que seu orquestrador lê. As regras assumem que o servidor está registrado com o nome ismscopilot, como nos guias de configuração.

Claude Code

Adicione ao CLAUDE.md na raiz do projeto, ou ao ~/.claude/CLAUDE.md para todos os projetos:

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuração: Conectar o ISMS Copilot ao Claude Code.

Codex, OpenCode e Grok

Esses orquestradores leem AGENTS.md. Coloque a mesma regra no AGENTS.md na raiz do projeto, ou no arquivo de instruções globais do orquestrador (por exemplo, ~/.codex/AGENTS.md para o Codex). Verifique a documentação da versão do seu orquestrador para o caminho global exato.

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuração: Conectar Cursor e Codex, ou Conectar qualquer cliente MCP para OpenCode e Grok.

Cursor

Crie uma regra de projeto em .cursor/rules/ismscopilot.mdc:

---
description: GRC work goes to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuração: Conectar Cursor e Codex.

claude.ai, Claude Desktop e ChatGPT

Adicione o ISMS Copilot como um conector personalizado (no ChatGPT, um app MCP personalizado com OAuth e configurações padrão) com a URL do endpoint, faça login e clique em Aprovar. Esses aplicativos não possuem um arquivo de instruções para a regra de roteamento acima; coloque-a nas instruções do projeto ou personalizadas, se o aplicativo as tiver. Configuração: Conectar qualquer cliente MCP.

Padrões que funcionam

Uma conversa por deliverable

Inicie cada deliverable (uma política de controle de acesso, uma análise de lacunas, um lote de justificativas de SoA) com create_conversation, depois refine-o com send_message no mesmo conversation_id. O especialista mantém o histórico da thread em seu lado, então seu agente não precisa reenviar turnos anteriores. Inicie uma nova conversa para um deliverable não relacionado: threads longas usam mais da sua janela de uso por mensagem.

Delimitar o trabalho do cliente e da empresa a um workspace

Passe workspace_id (de list_workspaces) quando o trabalho pertencer a um cliente ou empresa específica. Em um turno com escopo de workspace, o ISMS Copilot lê as memórias e arquivos desse workspace, então seu agente não precisa reafirmá-los. Sem workspace_id, o turno é executado apenas com suas memórias pessoais.

Escolher um assistente integrado

Com um token de acesso pessoal, seu agente pode encaminhar uma pergunta para um assistente integrado focado em um framework: Cyber Resilience Act (cra), DORA (dora), EU AI Act (eu-ai-act), NIS 2 (nis2), Gestão de privacidade (iso27701, abrange ISO/IEC 27701) e Gestão de IA (iso42001, abrange ISO/IEC 42001). Peça que ele chame list_assistants uma vez e depois passe assistant com o id correspondente em create_conversation. A escolha fica vinculada à conversa, então as mensagens seguintes não precisam de assistant. Para todo o resto, omita-o: o especialista geral responde sobre qualquer outro framework como antes. O campo assistant de cada resposta indica qual assistente respondeu. Conexões com login ainda não têm isso. Detalhes: Conectar qualquer cliente MCP.

Escolher por tarefa

Os assistentes integrados também existem por tarefa. Com um token de acesso pessoal, list_assistants os retorna como by_job, ao lado dos especialistas por framework em built_in. As tarefas são Questionnaire responder, Audit prep, Implementation lead e Incident lead; list_assistants mostra os que estão ativados na sua conta. Mais papéis virão. Escolha uma tarefa quando seu agente tiver algo a fazer, como responder a um questionário de segurança ou preparar uma auditoria. Escolha um especialista por framework quando a pergunta for sobre o que um framework exige. Na dúvida, omita assistant. Cite o framework na mensagem e o papel trabalha com ele. Cada resposta de um papel indica o framework adotado. Conexões com login ainda não têm isso.

Memórias para fatos duradouros

Fatos que devem se aplicar a todos os turnos futuros (o escopo da certificação, a metodologia de risco escolhida, a data da auditoria) pertencem a uma memória: create_memory, com workspace_id para uma memória de workspace ou sem ele para uma memória pessoal. As memórias são limitadas a 500 caracteres cada. Use list_memories para verificar o que já está lá antes de adicionar um duplicado.

Contexto da Empresa

set_company_context substitui o perfil da empresa da conta (nome, setor, tamanho, país, função de privacidade, tipos de dados, região de hospedagem, pilha tecnológica, notas), e get_company_context o lê. Com um workspace_id, ambas atuam em vez disso sobre a empresa ligada a esse espaço de trabalho (empresas e ligações: consulte Tokens, escopos e segurança). As conversas que o seu agente executa via MCP ou pela API da conta recebem um perfil nas mesmas condições do chat web, como contexto de cada turno de uma conversa iniciada pela sua própria conta, e as respostas podem usar dados dele: fora de qualquer espaço de trabalho, o perfil da conta; num espaço de trabalho pessoal, apenas a empresa ligada a ele, e nenhum perfil se nenhuma estiver ligada. Só são usados os perfis da sua própria conta, e nunca são partilhados com outra conta. O perfil da conta não é adicionado dentro de espaços de trabalho nem em chats temporários, e nenhum perfil é adicionado quando não pode ser lido (o turno decorre então sem ele). Fatos que importam apenas para uma pergunta ainda podem ser incluídos na própria mensagem ou em uma memória do espaço de trabalho.

Fast, Think ou Beyond

Uma solicitação beyond que não pode ser executada é respondida pelo fluxo normal, e o resultado informa o motivo em beyond_denied_reason: plan, adp, disabled, trivial, cap ou cap_anthropic. Um turno executado no caminho de estouro do limite também responde pelo fluxo normal em vez de Beyond. Veja Usando o modo Beyond.

Peça uma resposta formatada para um agente

create_conversation e send_message aceitam um answer_format opcional:

Um documento completo solicitado explicitamente nunca é cortado. Execuções Beyond ignoram answer_format e informam isso com answer_format_applied: false.

Cadência de polling

Quando uma chamada retorna status: "generating", chame get_reply com o conversation_id e message_id até que retorne complete:

• Turnos Fast e Think: a cada 2-5 segundos.
• Execuções Beyond: a cada 10-20 segundos. Você também pode passar o beyond_run_id que o ticket retornou.

Aguarde uma resposta antes de enviar a próxima mensagem na mesma conversa: um envio enquanto o turno anterior ainda está sendo gerado é rejeitado.

Escreva entregáveis longos em arquivos

Quando o especialista retorna uma política ou uma SoA completa, faça com que o seu agente a escreva diretamente em um arquivo e informe o caminho. Repetir um documento longo no chat o coloca duas vezes no contexto do seu agente. Veja O que chamar o ISMS Copilot economiza.

MCP ou a Model API?

O ISMS Copilot oferece duas formas de integração a partir de um agente de codificação. Elas são adequadas para diferentes tipos de trabalho.

Para o padrão da Model API, veja Usar a API em agentes de codificação.