Робота з ISMS Copilot із вашого агента

Коли ваш агент підключається, сервер вже надсилає йому коротку маршрутизаційну примітку (поле MCP instructions), вказуючи, що передається ISMS Copilot, що залишається у вашому агенті і коли доручати перевірку роботи. Агенти не завжди діють згідно з цією приміткою, тому правило маршрутизації у вашому проекті або інструкціях користувача робить поведінку надійною.

Що передається ISMS Copilot, а що залишається у вашому агенті

Корисний тест: якщо відповідь залежить від точного формулювання стандарту чи регуляції або від контексту вашої робочої області, консультуйтеся з ISMS Copilot. Якщо вона залежить від фактів у вашому репозиторії, виконуйте цей пошук локально, а потім надсилайте ISMS Copilot короткий підсумок відповідних фактів, а не самі файли. Для перевірки надсилайте сам текст документа, прибравши з нього секрети. Якщо ваша модель вже знає відповідь, не потребує пошуку та може записати її прямо у файл, також залишайте локально: виклик ISMS Copilot додає кроки та збільшує витрати на використання Claude для таких невеликих завдань. Робота з відповідності, яку ви збираєтеся завершити, усе одно проходить перевірку. Див. коли виклик ISMS Copilot не допомагає.

Правила маршрутизації для кожного оркестратора

Кожне правило нижче має однаковий зміст; відрізняється лише файл. Вставте його у файл, який читає ваш оркестратор. Правила передбачають, що сервер зареєстровано під назвою ismscopilot, як у посібниках зі встановлення.

Claude Code

Додайте до CLAUDE.md у корені проекту або до ~/.claude/CLAUDE.md для всіх проектів:

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Налаштування: Підключення ISMS Copilot до Claude Code.

Codex, OpenCode та Grok

Ці оркестратори читають AGENTS.md. Розмістіть те саме правило у AGENTS.md у корені проекту або у глобальному файлі інструкцій оркестратора (наприклад, ~/.codex/AGENTS.md для Codex). Перевірте документацію вашої версії оркестратора щодо точного шляху до глобального файлу.

## GRC work goes to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Налаштування: Підключення Cursor та Codex або Підключення будь-якого клієнта MCP для OpenCode та Grok.

Cursor

Створіть правило проекту у .cursor/rules/ismscopilot.mdc:

---
description: GRC work goes to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory: when you need to know what a framework
requires, while you do the work when it needs compliance judgement, and before you finalize it.
You read the files and write the deliverable; ISMS Copilot judges. Keep code, git and shell work local.

- Do not paste framework text. To check work, send the document as message text, with secrets removed, and say in the deliverable which parts were not checked.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for checks and multi-step analysis; beyond on request, for a final check right before an audit, or for long research-grade drafting.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify any citation an audit will depend on against the official source text when you can. Also verify anything ISMS Copilot marks as unconfirmed or says it cannot confirm before relying on it (fetch the official publication if you have web access). Do not routinely re-check other confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Налаштування: Підключення Cursor та Codex.

claude.ai, Claude Desktop та ChatGPT

Додайте ISMS Copilot як користувацький конектор (у ChatGPT як користувацький застосунок MCP з OAuth і стандартними налаштуваннями) з URL-адресою кінцевої точки, потім увійдіть і натисніть Approve. У цих додатках немає файлу інструкцій для наведеного вище правила маршрутизації; розмістіть його у проекті або користувацьких інструкціях, якщо додаток їх підтримує. Налаштування: Підключення будь-якого клієнта MCP.

Ефективні підходи

Одна розмова на один результат

Починайте кожен результат (політика контролю доступу, аналіз прогалин, пакет обґрунтувань SoA) з create_conversation, а потім уточнюйте його за допомогою send_message з тим самим conversation_id. Спеціаліст зберігає історію потоку на своєму боці, тому вашому оркестратору не потрібно повторно надсилати попередні кроки. Починайте нову розмову для не пов'язаного результату: довгі потоки використовують більше вашого вікна використання на кожне повідомлення.

Обмеження роботи з клієнтом та компанією робочою областю

Передавайте workspace_id (з list_workspaces), коли робота належить певному клієнту або компанії. У кроці з обмеженням робочою областю ISMS Copilot читає спогади та файли цієї області, тому вашому оркестратору не потрібно повторювати їх. Без workspace_id крок виконується лише на основі ваших особистих спогадів.

Вибір вбудованого асистента

З персональним токеном доступу ваш оркестратор може спрямувати запитання до вбудованого асистента, зосередженого на одному фреймворку: Cyber Resilience Act (cra), DORA (dora), EU AI Act (eu-ai-act), NIS 2 (nis2), Управління конфіденційністю (iso27701, охоплює ISO/IEC 27701) і Управління ШІ (iso42001, охоплює ISO/IEC 42001). Нехай він один раз викличе list_assistants, а потім передасть assistant з відповідним id у create_conversation. Вибір закріплюється за розмовою, тож подальшим повідомленням assistant не потрібен. Для всього іншого не передавайте його: загальний спеціаліст відповідає щодо будь-якого іншого фреймворку, як і раніше. Поле assistant у кожній відповіді вказує, який асистент відповів. Підключення з входом поки цього не мають. Деталі: Підключення будь-якого MCP-клієнта.

Вибір за завданням

Вбудовані асистенти бувають і за завданням. З персональним токеном доступу list_assistants повертає їх у by_job, поруч з експертами з фреймворків у built_in. Завдання: Questionnaire responder, Audit prep, Implementation lead і Incident lead; list_assistants показує ті, що ввімкнені для вашого облікового запису. Згодом з'являться інші ролі. Обирайте завдання, коли вашому оркестратору треба щось виконати, наприклад відповісти на анкету з безпеки чи підготуватися до аудиту. Обирайте експерта з фреймворку, коли питання стосується того, чого вимагає один фреймворк. Якщо сумніваєтеся, не передавайте assistant. Назвіть фреймворк у повідомленні, і роль працюватиме відповідно до нього. Кожна відповідь ролі називає фреймворк, на який вона спиралася. Підключення з входом поки цього не мають.

Спогади для довготривалих фактів

Факти, які мають застосовуватися до кожного майбутнього кроку (обсяг сертифікації, обрана методологія оцінки ризиків, дата аудиту), належать до спогадів: create_memory, з workspace_id для спогадів робочої області або без нього для особистих. Спогади обмежені 500 символами кожен. Використовуйте list_memories, щоб перевірити, що вже є, перш ніж додавати дублікат.

Контекст компанії

set_company_context замінює профіль компанії облікового запису (назва, сектор, розмір, країна, роль у сфері конфіденційності, типи даних, регіон хостингу, технологічний стек, примітки), а get_company_context зчитує його. З параметром workspace_id обидва інструменти натомість працюють із компанією, пов'язаною з цим робочим простором (компанії та зв'язки: див. Токени, скоупи та безпека). Розмови, які ваш агент веде через MCP або API облікового запису, отримують профіль на тих самих умовах, що й вебчат, як фонову інформацію для кожного ходу розмови, розпочатої вашим власним обліковим записом, і відповіді можуть використовувати факти з нього: поза будь-яким робочим простором профіль облікового запису; в особистому робочому просторі лише пов'язану з ним компанію, і жодного профілю, якщо її не пов'язано. Використовуються лише профілі вашого власного облікового запису, і вони ніколи не передаються іншому обліковому запису. Профіль облікового запису не додається в робочих просторах і в тимчасових чатах, і жоден профіль не додається, якщо його не вдається прочитати (тоді хід виконується без нього). Факти, які важливі лише для одного запитання, все ще можна додавати в саме повідомлення або в пам'ять робочого простору.

Fast, Think або Beyond

Запит beyond, який не може бути виконаний, обробляється через звичайний потік, а результат містить причину в beyond_denied_reason: plan, adp, disabled, trivial, cap або cap_anthropic. Крок, що виконується на шляху перевищення ліміту, також відповідає через звичайний потік замість Beyond. Див. Використання режиму Beyond.

Запит відповіді, сформованої для агента

create_conversation і send_message приймають необов'язковий параметр answer_format:

Явно запрошений повний документ ніколи не обрізається. Запуски Beyond ігнорують answer_format і повідомляють про це за допомогою answer_format_applied: false.

Частота опитування

Коли виклик повертає status: "generating", викликайте get_reply з conversation_id і message_id, доки він не поверне complete:

• Кроки Fast і Think: кожні 2-5 секунд.
• Запуски Beyond: кожні 10-20 секунд. Також можна передати beyond_run_id, який повернув запит.

Дочекайтеся відповіді, перш ніж надсилати наступне повідомлення в тій самій бесіді: надсилання під час генерації попереднього кроку відхиляється.

Запис довгих результатів у файли

Коли спеціаліст повертає політику або повний SoA, доручайте своєму оркестратору записувати його безпосередньо у файл і повідомляти шлях. Повторення довгого документа в чаті дублює його в контексті вашого агента. Див. Що економить виклик ISMS Copilot.

MCP або Model API?

ISMS Copilot пропонує два способи інтеграції з боку кодування агента. Вони підходять для різних завдань.

Для шаблону Model API див. Використання API в агентах кодування.