【CISSP】定量的リスク評価と計算式(SLE/ALE)

定量的リスク評価(Quantitative Risk Assessments)

リスク要素に対して、数値(米ドル)を割り当て、コストとの対比で対策を検討する評価手法。
数値による対比を行うことで、対策検討が容易になる一方、分析に膨大な時間が掛かる事、
リスク要素に対する数値判断に高い専門性/経験を要する事などから、難易度の高い分析手法となる。
そのため、定性的リスク評価によって、全体像を抑え、より詳細が必要な部分に対して、定量的リスク評価を実施するハイブリッドが一般的。

脅威による損失を算出するには以下の計算式を用いる。

単一損失予想：Single Loss Expectancy (SLE)

SLE = AV(資産価値) x EF

-AV:Asset Value(資産価値)
-EF:Exposure Factor(暴露係数)

年間損失見込額：Annualized Loss Expectancy(ALE)

ALE = SLE(単一損失予想) x ARO(年間発生率)

ALO：Annual Rate of Occurrence(年間発生率)

Sample: 建物の評価額が1,000万$ , 平均的なハリケーン発生率が年間10% ,

ハリケーン発生時の被害が50%の場合のALEは？

AV(建物の評価額)=1,000万$
EF(ハリケーン発生時の被害)=50%

SLE = 1,000万$ x 0.5 = 500万$

ALO(ハリケーンの年間発生率)=10%

ALE = 500万$ x 0.1 = 50万$

となる。