3つのディフェンスライン（3線モデル）とは？みっつのでぃふぇんすらいん
3つのディフェンスライン（3線モデル）とは、組織のリスク管理体制を3つの層で説明するモデル。第1線は現業部門が自らの業務でリスクを管理し、第2線はリスク管理部門やコンプライアンス部門、情報セキュリティ部門が方針提示と監視を行い、第3線は内部監査部門が独立した立場で第1線・第2線の有効性を検証する。支援士では、セキュリティ部門を「守る実務」と「監視・監査」のどこに置くかという体制設計と、ISMSの内部監査の独立性で問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
セキュリティ対策を情報システム部門が「作り、運用し、自分で点検する」体制では、点検が甘くなっても誰も気付かない。守る人と、方針を作って見る人と、その両方を検証する人を分けるという考え方が、金融機関の内部統制から一般化した。支援士が担う情報セキュリティ推進は主に第2線の仕事で、第1線への指導・助言と、第3線の監査に耐える証跡づくりの両方を意識する必要がある。
具体例
営業部門が顧客データの取扱ルールを守って業務を行い（第1線）、情報セキュリティ部門がルールを定めてSIEMで逸脱を監視し（第2線）、内部監査部がISMSの内部監査としてルールと監視の仕組み自体の有効性を評価する（第3線）。金融機関ではこの3層を金融庁の監督指針に沿って明示している。
試験での引っ掛け
内部監査部門は第3線であって、リスク管理の方針策定や日常的なモニタリング（第2線）を担ってはならず、担うと独立性が損なわれる。逆に第2線のセキュリティ部門がシステムの設定変更まで自分で行うと第1線と混ざり、自分の作業を自分で監視することになる。CSIRTは検知・対応の実務なので第1線寄りに置かれることが多い。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。