Il modello delle Tre linee di difesa è un modello di governance che suddivide la responsabilità del rischio in tre livelli: i team operativi possiedono e gestiscono il rischio, i team di rischio e conformità monitorano e mettono in discussione i controlli, e l'audit indipendente fornisce assurance che la prima e la seconda linea stiano funzionando. In ambito di sicurezza informatica, questa struttura aiuta a evitare un errore comune: lo stesso team che costruisce o gestisce un sistema non dovrebbe essere l'unico team a stabilire se sia sicuro.
Il modello è importante perché il rischio informatico è sia tecnico sia organizzativo. Configurazione sicura, controllo degli accessi, risposta agli incidenti e supervisione dei fornitori richiedono proprietari chiari, ma richiedono anche revisione, test e percorsi di escalation. In pratica, la prima linea implementa i controlli, la seconda linea definisce le policy e traccia le eccezioni, e la terza linea verifica se prove, logging e remediation sono reali. I difensori più efficaci usano questo modello per individuare presto le lacune nei controlli; gli aggressori ne traggono vantaggio quando i ruoli sono sfumati e nessuno è chiaramente responsabile per un sistema debole o per un avviso mancato.