メインコンテンツまでスキップ

【メモ】セキュリティ部署（第2線）の役割と「1.5線」モデルの例

背景​

システム会社（SIer／ソフトウェア企業）のサイバーセキュリティは、現場（開発・運用）に近い実装力と、**独立した監視・牽制（ガバナンス）**の両方が求められます。理想は「第一線（現場）」と「第二線（リスク管理）」の分離ですが、実務では密接に連携せざるを得ず、完全分離が難しいケースも多いのが実情です。1

本稿では、三線ディフェンス（Three Lines Model / 3LoD）を前提に、セキュリティ部署が“第2線”として担うべき役割を整理し、分離が難しい場面で登場する**「1.5線（1.5 LoD）」**の考え方と企業事例をまとめます。23

三線ディフェンス（3LoD）モデルの要点​

Three Lines Model（旧 Three Lines of Defense）は、リスク管理と内部統制の役割分担を「第一線／第二線／第三線」に整理する考え方です。内部監査（第三線）は、ガバナンスとリスク管理の有効性に対して独立した保証と助言を提供します。1

  • 第一線：リスクを引き受け、業務としてコントロールを実装・運用する（開発・運用・営業など）
  • 第二線：リスク管理の枠組みを整備し、第一線のコントロールを監視・助言・牽制し、経営へ報告する
  • 第三線：内部監査として、第一線・第二線を含む全体の有効性を独立に評価する

第二線（セキュリティ部署）が担う主な役割​

第二線は、第一線の活動範囲を定める枠組みを作り、実装・運用されたコントロールを監視し、必要に応じて是正を促し、リスク状況を経営へ報告します。EYは、第二線が「第一線の境界条件を定義し、ガイダンス提供、実装状況の監視、コントロール評価、経営・取締役会への報告」を担う点を整理しています。2 ISACAも、第二線を「独立したコントロール機能」として、第一線のコントロールの有効性に挑戦（challenge）し得る役割として説明しています。4

役割カテゴリと具体タスク（第2線）​

カテゴリ具体タスク（例）狙い（なぜ第2線がやるか）
リスク管理フレームワークの策定・維持情報セキュリティ方針・標準・規程整備、例外管理、リスク受容ルールの設計第一線の実装ばらつきを抑え、全社で“最低ライン”を保証する2
第一線の管理・監視（モニタリング）リスク評価、診断結果レビュー、リスク登録簿更新、重大インシデントの監視・エスカレーション第一線の自己評価だけに依存せず、独立視点で有効性を点検する4
リスク報告と助言KPI/KRI設計、経営・取締役会向けレポート、是正要求・投資提言経営判断に耐える形でリスクを可視化し、意思決定につなげる2
教育・啓発全社研修、オンボーディング教材、演習（CSIRT訓練等）企画ルール整備だけでなく、第一線が実行できる状態を作る3
規制・コンプライアンス対応規制要件の社内適用、監査対応、証跡設計外部要求を“組織の運用”へ翻訳し、継続的に満たす5
第三者・サプライチェーン管理委託先評価、契約条項レビュー、監査・証跡確認外部リスクを全社基準で評価し、ばらつきを抑える4
ツール導入・標準化支援ログ/脆弱性管理ツールの要件策定・標準化、運用設計監視・測定を“仕組み化”して継続性を担保する4
独立性の確保と分離設計レポートライン設計、兼務回避、例外承認フロー第二線の監視が形骸化しないよう“構造”で守る2

事例：DeNAの第2線の分掌イメージ​

DeNAのセキュリティ部は、**セキュリティ推進（ポリシー策定・教育）とセキュリティ技術（脆弱性診断・SOC）**にグループを分け、加えて部門横断の仮想組織として「DeNA CERT」を置く構成が紹介されています。3 この構造は、「第2線の“ルール・教育”」と「技術レビュー／監視」を分けつつ、横断対応（CERT）で実行力も確保する例と捉えられます。3

「1.5線（1.5 LoD）」というハイブリッドモデル​

なぜ1.5線が必要になるのか​

3LoDの理想は分離ですが、システム会社では「現場のスピード」や「プロダクト理解」が重要で、第二線が完全に距離を置くと、相談・調整が遅れたり、現場実装に落ちやすい課題が出ます。そこで、**第一線と第二線の“橋渡し”**として、1.5線的な体制が採られることがあります。23

実例：DeNAの「1.5ライン」チーム​

DeNAは、事業部のセキュリティ活動を第一線、セキュリティ部を第二線と位置付けたうえで、2021〜2023年度の計画の中で、セキュリティ部と事業部のメンバーで構成する「1.5ライン」チームを主要事業ごとに設置したと説明しています。3

また、セキュリティ部の相談窓口には年間約850件の相談が来るとされ、1.5ラインや相談データがポリシー見直しの契機になる旨も述べられています。3

その他の事例：ネットワンシステムズ／SCSK​

  • ネットワンシステムズは、再発防止策の文脈で、現場に近い立場で業務統制を行う組織を**「第1.5ライン」**として位置付け、受注前後の活動（顧客登録、見積、売上計上など）の確認、ガイドライン・チェックリスト整備、会議体への報告などを担うとしています。67
  • SCSKは、ネットワンシステムズ子会社化後の体制として、統制におけるコントロールタワーとして第1.5ラインを加えた独自の3ラインモデルを含む体制に触れています。8

McKinseyの注意喚起：1.5線が“責任の希薄化”を招くリスク​

McKinseyは、銀行領域の例として「1.5 line of defense」に第一線業務（品質保証・報告など）を任せると、一見効率的でも混乱が増え、第一線がリスク管理を自分ごと化しなくなる可能性があると警鐘を鳴らしています。9

1.5線のメリットと課題（整理）​

観点メリット課題（対策の方向性）
実行への近さ事業特性に即した要求を素早く議論し、実装に落としやすい3第二線の独立性を損なう恐れ → 役割・権限・承認フローの明文化、レポートライン設計2
コミュニケーション相談・教育ニーズの吸い上げが容易。DeNAでは相談窓口に年850件規模の相談が来る3報告ラインが複雑化し、責任境界が曖昧に → RACI等で責任分界を固定化
専門性の融合セキュリティ知見×事業知見で現実的な対策設計ができる31.5線に依存し、第一線が“自分の責任”と思わなくなる → 第一線の責務を制度として明確化9

部署単位での役割整理（3LoD＋1.5線）​

システム会社を想定して、役割を“部署単位”で一般化すると以下のように整理できます（企業により名称・分掌は変わります）。34

ライン/部署主な役割・タスク事例・補足
第一線：事業部門（開発・運用・営業）セキュリティ要求の実装、脆弱性修正、ログ監視、インシデント初動、DevSecOps運用、顧客要件対応第一線が“リスクオーナー”である前提が崩れると形骸化しやすい9
1.5線：事業×セキュリティの混成チーム（橋渡し）事業特化の要求調整、相談窓口、教育・演習支援、ベストプラクティス共有会、課題吸い上げDeNAの「1.5ライン」チーム（主要事業ごと）3／ネットワンの「業務統制本部」6
第二線：セキュリティ部門（独立したリスク管理機能）方針・標準、教育、規制対応、第一線コントロールの監視と是正要求、経営報告、委託先評価DeNA：推進（方針/教育）＋技術（診断/SOC）＋CERT3
第三線：内部監査第一線・第二線の有効性を独立評価し、改善提言・取締役会報告Three Lines Modelで内部監査の独立性が強調される1

まとめ​

  • **第2線（セキュリティ部署）**は、規程・教育・監視・是正・経営報告などを通じて、第一線の実装を“組織として継続可能な統制”に落とし込む役割を担います。24
  • 一方で、完全分離が難しい現場では、1.5線が「現場密着の実装力」と「第2線のガバナンス」をつなぐ現実解になり得ます（DeNA、ネットワン、SCSKの示唆）。368
  • ただし、1.5線は設計を誤ると第一線の責任が薄れ、混乱が増えるリスクがあるため、責任分界（RACI）、承認フロー、レポートラインなど“ガバナンスの明文化”が必須です。9

参考資料（出典）​

Footnotes​

  1. The Institute of Internal Auditors (IIA), The IIA’s Three Lines Model: An update of the Three Lines of Defense（Position Paper, 2020/09/08）。Three Lines Modelの目的・原則、および内部監査（第三線）の独立した保証と助言の位置付けを示す。https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/ ↩ ↩2 ↩3

  2. EY, CISO Governance: Choosing the optimal Line of Defense（Web）。第二線が第一線の境界条件定義、ガイダンス提供、実装監視、コントロール評価、経営・取締役会への報告を担う点を整理。https://www.ey.com/en_ch/insights/cybersecurity/where-should-your-ciso-sit-in-the-three-lines-of-defense-model ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8

  3. UNITIS（IT & Information security Journal）, DeNA セキュリティ部 – 経営戦略とミッションを合致させ、「事業の成功」に貢献（インタビュー, 2024/05/30）。セキュリティ推進/技術/SOC/CERTの分掌、および事業部×セキュリティ部の「1.5ライン」チーム、年間850件の相談対応などを紹介。https://unitis.jp/articles/10601/ ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13 ↩14

  4. ISACA, Roles of Three Lines of Defense for Information Security and Governance（ISACA Journal, 2018）。第二線を独立したコントロール機能として第一線コントロールを監視し、有効性に挑戦し得る点を説明。https://www.isaca.org/resources/isaca-journal/issues/2018/volume-4/roles-of-three-lines-of-defense-for-information-security-and-governance ↩ ↩2 ↩3 ↩4 ↩5 ↩6

  5. ISACA, The Three Lines Model in Cybersecurity Governance and Risk Management（ISACA Journal, 2024）。サイバー領域における第一線・第二線・第三線の役割分担（第二線＝方針・監視・コンプライアンス等）を整理。https://www.isaca.org/resources/isaca-journal/issues/2024/volume-1/the-three-lines-model-in-cybersecurity-governance-and-risk-management ↩

  6. ネットワンシステムズ, 1. ガバナンスの改革と推進（再発防止策の進捗・詳細）。業務統制本部を「第1.5ライン」とし、現場に近い立場から受注前後の活動確認やチェックリスト作成等を担う旨を記載。https://www.netone.co.jp/company/responsibility/prevention/details-1/ ↩ ↩2 ↩3

  7. ネットワンシステムズ, 3. 業務執行に係る体制及び社内体制の強化（再発防止策の進捗・詳細）。第1ライン／第1.5ライン／第2ラインなどの牽制強化の枠組みを示す。https://www.netone.co.jp/company/responsibility/prevention/details-3/ ↩

  8. SCSK, コーポレート・ガバナンス - サステナビリティ（Web）。ネットワンシステムズにおいて「コントロールタワーとして第1.5ラインを加えた独自の3ラインモデル」を含む体制に言及。https://www.scsk.jp/corp/csr/governance/corporate.html ↩ ↩2

  9. McKinsey & Company, Transforming risk efficiency and effectiveness（2019/04/25）。「1.5 line of defense」に第一線業務を任せると混乱を招き、第一線がリスク管理を自分ごと化しない恐れがある旨を指摘。https://www.mckinsey.com/capabilities/risk-and-resilience/our-insights/transforming-risk-efficiency-and-effectiveness ↩ ↩2 ↩3 ↩4

に最終更新