Доручайте роботу з GRC вашому оркестратору

Коли ваш агент підключається, сервер вже надсилає йому коротку маршрутизаційну примітку (поле MCP instructions), вказуючи, що делегувати, а що залишити локально. Агенти не завжди діють згідно з цією приміткою, тому правило маршрутизації у вашому проекті або інструкціях користувача робить поведінку надійною.

Що делегувати, а що залишати локально

Корисний тест: якщо відповідь залежить від точного формулювання стандарту чи регуляції або від контексту вашої робочої області, делегуйте. Якщо вона залежить від вмісту вашого репозиторію, залишайте локально, а потім надсилайте ISMS Copilot короткий підсумок відповідних фактів, а не самі файли. Якщо ваша модель вже знає відповідь, не потребує пошуку та може записати її прямо у файл, також залишайте локально: делегування додає кроки та збільшує витрати на використання Claude для таких невеликих завдань. Див. коли делегування не допомагає.

Правила маршрутизації для кожного оркестратора

Кожне правило нижче має однаковий зміст; відрізняється лише файл. Вставте його у файл, який читає ваш оркестратор. Правила передбачають, що сервер зареєстровано під назвою ismscopilot, як у посібниках зі встановлення.

Claude Code

Додайте до CLAUDE.md у корені проекту або до ~/.claude/CLAUDE.md для всіх проектів:

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Налаштування: Підключення ISMS Copilot до Claude Code.

Codex, OpenCode та Grok

Ці оркестратори читають AGENTS.md. Розмістіть те саме правило у AGENTS.md у корені проекту або у глобальному файлі інструкцій оркестратора (наприклад, ~/.codex/AGENTS.md для Codex). Перевірте документацію вашої версії оркестратора щодо точного шляху до глобального файлу.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Налаштування: Підключення Cursor та Codex або Підключення будь-якого клієнта MCP для OpenCode та Grok.

Cursor

Створіть правило проекту у .cursor/rules/ismscopilot.mdc:

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Налаштування: Підключення Cursor та Codex.

claude.ai, Claude Desktop та ChatGPT

Додайте ISMS Copilot як користувацький конектор (у ChatGPT як користувацький застосунок MCP з OAuth і стандартними налаштуваннями) з URL-адресою кінцевої точки, потім увійдіть і натисніть Approve. У цих додатках немає файлу інструкцій для наведеного вище правила маршрутизації; розмістіть його у проекті або користувацьких інструкціях, якщо додаток їх підтримує. Налаштування: Підключення будь-якого клієнта MCP.

Ефективні підходи

Одна розмова на один результат

Починайте кожен результат (політика контролю доступу, аналіз прогалин, пакет обґрунтувань SoA) з create_conversation, а потім уточнюйте його за допомогою send_message з тим самим conversation_id. Спеціаліст зберігає історію потоку на своєму боці, тому вашому оркестратору не потрібно повторно надсилати попередні кроки. Починайте нову розмову для не пов'язаного результату: довгі потоки використовують більше вашого вікна використання на кожне повідомлення.

Обмеження роботи з клієнтом та компанією робочою областю

Передавайте workspace_id (з list_workspaces), коли робота належить певному клієнту або компанії. У кроці з обмеженням робочою областю ISMS Copilot читає спогади та файли цієї області, тому вашому оркестратору не потрібно повторювати їх. Без workspace_id крок виконується лише на основі ваших особистих спогадів.

Спогади для довготривалих фактів

Факти, які мають застосовуватися до кожного майбутнього кроку (обсяг сертифікації, обрана методологія оцінки ризиків, дата аудиту), належать до спогадів: create_memory, з workspace_id для спогадів робочої області або без нього для особистих. Спогади обмежені 500 символами кожен. Використовуйте list_memories, щоб перевірити, що вже є, перш ніж додавати дублікат.

Контекст компанії

set_company_context замінює профіль компанії облікового запису (назва, сектор, розмір, країна, роль у сфері конфіденційності, типи даних, регіон хостингу, технологічний стек, примітки), а get_company_context зчитує його. Чат-додаток використовує цей профіль як фонову інформацію, і тепер бесіди, які ваш агент запускає через MCP або API облікового запису, також отримують його на тих самих умовах, що й веб-чат: у бесіді, розпочатій вашим обліковим записом, профіль додається як фонова інформація до кожного кроку, і відповіді можуть використовувати факти з нього. Використовується лише профіль вашого облікового запису, і він ніколи не передається іншому обліковому запису. Він не додається в спільні робочі простори команди або тимчасові чати, а також коли його неможливо зчитати (тоді крок виконується без нього). Факти, які важливі лише для одного запитання, все ще можна додавати в саме повідомлення або в пам'ять робочого простору.

Fast, Think або Beyond

Запит beyond, який не може бути виконаний, обробляється через звичайний потік, а результат містить причину в beyond_denied_reason: plan, adp, disabled, trivial, cap або cap_anthropic. Крок, що виконується на шляху перевищення ліміту, також відповідає через звичайний потік замість Beyond. Див. Використання режиму Beyond.

Запит відповіді, сформованої для агента

create_conversation і send_message приймають необов'язковий параметр answer_format:

Явно запрошений повний документ ніколи не обрізається. Запуски Beyond ігнорують answer_format і повідомляють про це за допомогою answer_format_applied: false.

Частота опитування

Коли виклик повертає status: "generating", викликайте get_reply з conversation_id і message_id, доки він не поверне complete:

• Кроки Fast і Think: кожні 2-5 секунд.
• Запуски Beyond: кожні 10-20 секунд. Також можна передати beyond_run_id, який повернув запит.

Дочекайтеся відповіді, перш ніж надсилати наступне повідомлення в тій самій бесіді: надсилання під час генерації попереднього кроку відхиляється.

Запис довгих результатів у файли

Коли спеціаліст повертає політику або повний SoA, доручайте своєму оркестратору записувати його безпосередньо у файл і повідомляти шлях. Повторення довгого документа в чаті дублює його в контексті вашого агента. Див. Що економить делегування.

MCP або Model API?

ISMS Copilot пропонує два способи інтеграції з боку кодування агента. Вони підходять для різних завдань.

Для шаблону Model API див. Використання API в агентах кодування.