Обзор

Что такое Matrix

Matrix — система управления требованиями по информационной безопасности при разработке ПО. Встраивается в DevSecOps-процессы и помогает командам и экспертам ИБ совместно работать с требованиями на всех этапах жизненного цикла.

Ключевые возможности

• Анкетирование систем — гибкие анкеты с ветвлением.
• Автогенерация требований — на основе анкеты, угроз и категории системы.
• Библиотека решений — типовые технические решения.
• Управление рисками — обоснование, принятие, ответственные.
• ПСИ — поддержка предварительных испытаний с автопротоколом.
• Интеграции — Jira, GitLab, CI/CD, SAST/DAST/SCA.

Пользователи

Быстрый старт

Быстрый старт

1. Создайте проект

В дашборде нажмите «Новый проект», укажите название и категорию системы (КИИ, ГИС, ПДн, обычная).

2. Заполните анкету

Анкета содержит вопросы о:

• Категории обрабатываемых данных (ПДн, КТ, гостайна)
• Модели угроз
• Архитектуре (внутренняя, публичная)
• Классе защищённости

3. Сгенерируйте требования

matrix project generate-requirements \
  --project prj_001 \
  --questionnaire qst_full \
  --framework 152-fz

4. Интегрируйте с Jira

# matrix-config.yaml
integrations:
  jira:
    url: https://jira.example.com
    project: SEC
    user: matrix-bot
    api_token: ${JIRA_TOKEN}

5. Отслеживайте выполнение

Дашборд покажет покрытие требованиями и прогресс по каждому спринту.

Установка

Требования

• CPU: 4 vCPU, RAM: 8 GB, Disk: 100 GB
• PostgreSQL 15+ (внешний или встроенный)
• Опционально: S3-совместимое хранилище для артефактов

Docker Compose

version: '3.8'
services:
  matrix:
    image: registry.silience.ru/matrix:3.1
    ports: ["8080:8080"]
    environment:
      MATRIX_DB_URL: postgres://matrix:pass@db:5432/matrix
      MATRIX_LICENSE_KEY: ${MATRIX_LICENSE_KEY}
      MATRIX_ADMIN_EMAIL: admin@example.com
    volumes:
      - ./config:/etc/matrix
    depends_on: [db]
  db:
    image: postgres:16-alpine
    environment:
      POSTGRES_USER: matrix
      POSTGRES_PASSWORD: pass
      POSTGRES_DB: matrix
    volumes:
      - pgdata:/var/lib/postgresql/data
volumes: { pgdata: {} }

SaaS-вариант

Доступен managed-вариант: https://your-org.matrix.silience.ru. Данные хранятся в РФ, соответствие 152-ФЗ.

Air-gapped

docker save registry.silience.ru/matrix:3.1 | gzip > matrix.tar.gz
docker load < matrix.tar.gz
docker compose -f docker-compose.offline.yaml up -d

Конфигурация

Гибкая настройка анкет

questionnaires:
  - id: qst_full
    name: "Полная анкета ИБ"
    sections:
      - id: data
        title: "Обрабатываемые данные"
        questions:
          - id: has_pii
            type: boolean
            label: "Обрабатываются ли ПДн?"
          - id: pii_categories
            type: multiselect
            depends_on: { has_pii: true }
            options: [special, biometric, public, other]
      - id: infra
        title: "Инфраструктура"
        questions:
          - id: deployment
            type: select
            options: [on_prem, cloud, hybrid]

Шаблоны требований

requirement_templates:
  - id: req_pii_encryption
    title: "Шифрование ПДн при хранении"
    frameworks: [152-fz, gost]
    applies_if: { has_pii: true }
    priority: high
    solutions:
      - "AES-256-GCM на уровне БД (TDE)"
      - "Приложение-уровневое шифрование чувствительных полей"
    verification:
      method: auto
      check: "db.encryption.enabled == true"

Интеграции

Роли

roles:
  admin:    [project.*, user.*, config.*]
  expert:   [requirement.*, risk.*, report.read]
  developer:[requirement.read, requirement.status, comment.*]
  auditor:  [*.read, report.export]

API Reference

REST API

Пример: создание проекта и получение требований

# Создание
PRJ=$(curl -s -X POST https://matrix.internal/api/v1/projects \
  -H "Authorization: Bearer $MATRIX_TOKEN" \
  -d '{"name":"CRM v2","category":"pii","owner":"crm-team"}' | jq -r .id)

# Запуск генерации требований
curl -X POST https://matrix.internal/api/v1/projects/$PRJ/generate \
  -H "Authorization: Bearer $MATRIX_TOKEN" \
  -d '{"questionnaire_id":"qst_full","framework":"152-fz"}'

# Получение списка
curl -s "https://matrix.internal/api/v1/projects/$PRJ/requirements?status=open" \
  -H "Authorization: Bearer $MATRIX_TOKEN" | jq '.items[].title'

Экспорт

curl -X POST https://matrix.internal/api/v1/projects/$PRJ/export \
  -H "Authorization: Bearer $MATRIX_TOKEN" \
  -d '{"format":"pdf","template":"audit-2026"}' -o report.pdf

Безопасность

Модель безопасности

• RBAC — роли и права на уровне проекта и объекта
• SSO — OIDC / SAML 2.0 / LDAP
• Audit — все действия журналируются
• Data residency — on-prem или РФ-облако

Соответствие 152-ФЗ

Matrix помогает выполнять требования:

• Определение категорий ПДн и уровня защищённости
• Формирование модели угроз и требований
• Аудит и отчётность
• Хранение документов в контролируемом контуре

Разграничение доступа

Аудит

Каждое действие содержит: actor, resource, before, after, ip, user-agent. Экспорт в SIEM через syslog/webhook.

FAQ

FAQ

Какие фреймворки поддерживаются?

152-ФЗ, 187-ФЗ (КИИ), ГОСТ Р 57580, PCI DSS, OWASP ASVS, ISO 27001, собственные корпоративные стандарты.

Есть ли поддержка ПСИ?

Да, модуль ПСИ автоматически формирует протокол испытаний на основе статусов требований и результатов проверок.

В каких форматах экспорт?

PDF, DOCX, XLSX, JSON. Настраиваемые шаблоны для аудита.

Требуется ли программирование?

Нет. Все анкеты, шаблоны, требования и правила настраиваются через UI (no-code). API — для интеграций.

Как связаны требования и задачи в Jira?

Каждое требование может быть связано с задачей. При изменении статуса в Jira автоматически обновляется статус в Matrix, и наоборот.

Можно ли использовать on-prem?

Да, есть три варианта: on-prem, SaaS в РФ-облаке и гибрид (данные on-prem, метаданные в облаке).

Changelog

История версий

v3.1 latest

18 января 2026

• Модуль ПСИ с автопротоколом
• Гибкие дашборды (drag-and-drop)
• Интеграция с GitLab Duo

v3.0

1 декабря 2025

• Полностью новый UX (React)
• Библиотека типовых решений

v2.8

15 сентября 2025

• Экспорт в DOCX с шаблонами
• RBAC + SSO (SAML/OIDC)