3つのディフェンスライン（3線モデル）とは？みっつのでぃふぇんすらいん
3つのディフェンスライン（3線モデル）とは、誰がリスクに責任を持つのかを3つの層へ整理する考え方。リスクを実際に負って日々管理するのは業務を行う部門自身（第1線）、その部門へ方針と基準を示し、守られているかを見るのが情報セキュリティ部門やリスク管理部門（第2線）、この2つが機能しているかを独立した立場から確かめるのが内部監査部門（第3線）。利用部門のリーダーが立つのは第1線である。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
セキュリティは専門部署の仕事だと切り分けていた組織では、現場は規程を渡されるだけで自分の業務のリスクを見ておらず、専門部署は現場の実態を知らないまま監視していた。役割を3層に分けると、リスクを負う当事者は現場の側だという前提が明示される。この試験の対象者像が「利用部門のリーダー」に置かれている理由もここにある。
具体例
金融庁は金融機関の監督で3線管理の考え方を用い、内部監査の高度化に関する文書でも参照している。営業部門が自部門の顧客データの持出しルールを守って棚卸しを行い（第1線）、情報セキュリティ部門が規程を定めて逸脱を監視し（第2線）、内部監査部門が両者の運用が機能しているかを検証する（第3線）。
試験での引っ掛け
第2線は監視と支援を行う側であって、リスクを管理する責任を現場から引き取るわけではない。事故が起きたときに責任を負うのは第1線の部門長である。また内部監査部門が規程の策定や日常の監視（第2線）を兼ねると独立性が失われ、自分が作った仕組みを自分で評価することになる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。