Claude to orkiestrator. ISMS Copilot to specjalista ds. GRC.

Ludzie pytają nas, czy ISMS Copilot konkuruje z Claudem. Nie konkuruje. Claude świetnie radzi sobie z wykonywaniem pracy: przeglądaniem repozytoriów, edycją plików, wywoływaniem narzędzi, utrzymywaniem planu. My nie chcemy być tym narzędziem. Chcemy być tym, do którego Claude się zwróci, gdy praca przerodzi się w compliance.

Dlatego polecamy taki schemat. Twój agent to orkiestrator. Claude Code, Cursor, Codex, OpenCode, Grok: ten, którego już używasz. ISMS Copilot to specjalista ds. GRC, do którego orkiestrator deleguje zadanie przez MCP. Orkiestrator prowadzi pracę. Specjalista odpowiada za część compliance i przekazuje odpowiedź z powrotem.

Dlaczego ogólny agent z plikiem Skill nie wystarcza

Powszechną alternatywą jest jeden agent wykonujący wszystko, z plikiem Skill zawierającym instrukcje dotyczące ram standardów w jego kontekście. To może działać. Dla dużych, stabilnych ram standardów dobrze utrzymywany plik jest trudny do pobicia, i piszemy o tym w dokumentacji.

Ma jednak trzy słabe punkty.

• Plik się starzeje. Ramy standardów są aktualizowane i renumerowane. Twój plik tego nie wie. Ktoś musi to zauważyć i poprawić, i to Ty nim jesteś.
• Treść ram standardów trafia do Twojego kontekstu. Aby odpowiedzieć na podstawie pliku Skill, agent ładuje go do swojego kontekstu. Tak samo dzieje się z każdym cytowanym fragmentem polityki lub kontroli, nad którym musi się zastanowić.
• Brak drugiego czytelnika. Agent, który napisał politykę, jest tym samym, który ją sprawdza. Specjalista daje Ci drugie spojrzenie na podstawie sprawdzonych odniesień do ram standardów. To mechanizm, a nie mierzalna zaleta: nie przeprowadzaliśmy benchmarków.

Specjalista zmienia kształt pracy. Nie sprawia, że Twój agent staje się mądrzejszy. Pełne uzasadnienie, w tym sytuacje, w których plik Skill nadal jest najlepszym rozwiązaniem, znajdziesz w Dlaczego połączyć specjalistę.

Co się dzieje, gdy Twój agent deleguje zadanie

Twój agent wywołuje narzędzia MCP ISMS Copilot, aby rozpocząć rozmowę lub wysłać wiadomość. Przekazuje pytanie. Następnie praca odbywa się po naszej stronie.

• Wiedza o ramach standardów pozostaje po naszej stronie. Sprawdzone moduły ram standardów są ładowane tam, gdzie powstaje odpowiedź, a nie w kontekście Twojego agenta.
• Twoja przestrzeń robocza jest odczytywana po naszej stronie. Twoje „pamięci” oraz (gdy rozmowa dotyczy konkretnej przestrzeni roboczej) pamięci i pliki tej przestrzeni są odczytywane przez ISMS Copilot. Surowych plików nie kopiuje się do Twojego agenta.
• Pisanie odbywa się po naszej stronie. Długa polityka lub analiza luk jest pisana przez specjalistę, a nie składana token po tokenie w Twoim orkiestratorze.
• Odpowiedź wraca. Twój agent otrzymuje odpowiedź, a nie materiały, na których została oparta, i kontynuuje pracę.

Praktyczną konsekwencją jest to, że kontekst, który nigdy nie trafia do Twojego kontekstu rozmowy, nie jest ponownie wysyłany w kolejnych rundach. Twój agent nie przenosi pełnego tekstu ram standardów ani surowych plików z Twojej przestrzeni roboczej przez resztę sesji, ponieważ nigdy ich nie otrzymał.

Jeden uczciwy zastrzeżenie. Samą odpowiedź czyta Twój agent. Jest ona wprowadzana do Twojego orkiestratora jak każda inna. Jeśli odpowiedź cytuje lub podsumowuje klauzulę ram standardów lub jeden z Twoich plików, ta część trafia teraz do Twojego kontekstu rozmowy. Długa odpowiedź obciąża Twój orkiestrator długą odpowiedzią. Jeśli chcesz, aby odpowiedź była zwięzła, poproś swojego agenta o zwięzłą odpowiedź lub tylko decyzję i odniesienia.

Co delegować, a co zostawić

Deleguj zadania związane z compliance:

• Pytania dotyczące ram standardów: ISO 27001, SOC 2, RODO, NIS 2, DORA, AI Act UE, HIPAA i inne.
• Projektowanie polityk i procedur.
• Mapowanie kontroli między ramami standardów.
• Analiza luk względem ram standardów.
• Uzasadnienia dla Oświadczenia o Stosowności, wpisy w rejestrze ryzyk, przygotowanie do audytu.

Pozostaw resztę w swoim orkiestratorze:

• Kod, git, system plików, budowanie.
• Ogólne pytania, które nie mają nic wspólnego z compliance.
• Orkiestrację. Twój agent decyduje, co delegować i jak postąpić z odpowiedzią.

Dobrą zasadą do umieszczenia w instrukcjach Twojego agenta jest: gdy zadanie dotyczy compliance, zapytaj ISMS Copilot i nie wklejaj tekstów ram standardów ani dużych dokumentów do swojego kontekstu, aby odpowiedzieć sobie samemu.

Połączenie jednym poleceniem

W ISMS Copilot otwórz Ustawienia, następnie Połączone aplikacje i utwórz token. Następnie dla Claude Code:

claude mcp add --scope user --transport http ismscopilot https://account.ismscopilot.com/v1/account/mcp --header "Authorization: Bearer pat-isms-..."

Flaga --scope user sprawia, że narzędzie jest dostępne w każdym folderze. Cursor, Codex, OpenCode i inne klienty MCP akceptujące nagłówek Bearer używają tego samego adresu URL serwera i tokena. Kroki dla poszczególnych klientów znajdziesz w Przewodniku po Claude Code oraz Połącz Cursor i Codex.

Wpasowuje się w Twój plan rozmowy

Nie ma osobnego produktu MCP ani osobnego rachunku. Delegowane rozmowy korzystają z Twojego istniejącego planu czatu ISMS Copilot, z tym samym oknem użycia co aplikacja webowa. Jeśli osiągniesz limit, narzędzie poinformuje Cię o tym i powie, kiedy limit zostanie odnowiony.

Krótko mówiąc: odpowiedzi dotyczące compliance, którym możesz zaufać, wewnątrz Claude Code, Cursor lub Codex, bez obciążania planu Clauda lub ChatGPT. Jak przedstawiają się koszty, z podaniem źródeł i dat, znajdziesz na /for/grc-engineers.

Co obecnie nie jest obsługiwane

Połączenie korzysta z osobistego tokena dostępu. Klienci łączący się wyłącznie przez OAuth nie mogą go jeszcze używać. Oznacza to, że łączniki dla claude.ai, Claude Desktop i ChatGPT nie są obecnie obsługiwane. Działa natomiast Claude Code, Cursor, Codex, OpenCode i inne klienty akceptujące nagłówek Bearer.

Punkt

Nie musisz wybierać między swoim agentem a specjalistą ds. compliance. Zachowaj agenta. Daj mu kogoś, do kogo może się zwrócić.