3ラインモデル（3つの防衛線）とは？すりーらいんもでる
3ラインモデル（3つの防衛線）とは、組織のリスク管理を、業務を実行し一次的にリスクを負う現業部門（第1線）、情報セキュリティ管理・リスク管理・法務など横断的に監視する管理部門（第2線）、経営者と取締役会に対して独立した立場で保証を与える内部監査部門（第3線）の3層で捉える考え方。役割の重なりと監視の空白を無くす狙いで、支援士では情報セキュリティ監査と自己点検の位置づけを問う文脈で出る。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
情報セキュリティ部門が規程を作り、自分で順守状況を点検し、自分で経営に「問題なし」と報告する構図では、独立した保証にならない。誰がリスクを負い、誰が監視し、誰が保証するかを分けるために、内部監査人協会（IIA）が2013年に「3つの防衛線」として整理し、2020年に協働を強調した「3ラインモデル」へ改訂した。支援士では自己点検（第2線の活動）と情報セキュリティ監査（第3線）を区別させる。
具体例
IIAが提唱した枠組みで、企業では各事業部の情報管理責任者が自部門の運用を守り（第1線）、CISO配下の情報セキュリティ部門が規程整備と自己点検を行い（第2線）、内部監査部門が第1線と第2線の両方の有効性を監査する（第3線）という配置になる。
試験での引っ掛け
第2線の点検活動は独立性の要件を満たさないため内部監査の代わりにはならず、「セキュリティ部門が自ら定めた規程の順守状況を点検する」のは第2線の活動であって第3線の監査ではない。2020年の改訂で「防衛線」の呼び名は消えたが3層の構造は同じ。CSIRTやSOCは第1線または第2線の活動であり、第3線には置かない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。