定量的リスク分析：年間損失期待値（Annual Loss Expectancy）

リスク評価は、リスク管理の不可欠な要素です。これにより、特定のプロジェクトに悪影響を及ぼす可能性のある潜在的な危険や、特定の意思決定によって生じる可能性のあるリスクを特定できます。

リスク分析には、定量的（quantitative）と定性的（qualitative）の2種類があります：

• 定量的リスク分析は、リスクの発生可能性と影響を評価するために、確かな数値を用いる客観的なアプローチです。このプロセスでは、年次損失期待値（annual loss expectancy）などの指標を算出し、特定のリスク低減（リスク緩和）取り組みが投資する価値のあるものかどうかを判断するのに役立てます。評価には、十分に開発されたプロジェクトモデルと高品質なデータが必要です。
• 定性的リスク分析は、潜在的なリスクの発生可能性と影響を素早く把握して、さらなる評価のために優先順位を付けられるようにする方法です。定量的リスク分析が客観的であるのに対し、定性的リスク分析は主観的なアプローチで、たとえば 1〜5 の尺度のように、より大まかな区分でリスクを順位付けします。あるいは単に「低」「中」そして

リスク分析のいずれの手法も、リスク管理において重要なツールです。この記事では定量的リスク分析に焦点を当て、年次損失期待値（ALE）の算出方法を説明します。

定量的リスク分析とは？

定量的リスク分析では、関連性があり検証可能なデータを用いて、特定のリスク結果が起こる確率と、その見積もり金銭コストを予測します。

IT プロフェッショナルが考慮すべきリスクには、以下のようなさまざまな種類があります：

• 人的ミス
• サイバー攻撃、未承認の開示、またはデータの誤用などの敵対的行為
• アプリケーションのエラー
• システムまたはネットワークの不具合
• 火災、自然災害、または破壊行為などの原因による物理的な損傷

定量的なリスク分析では、どのような結果が得られますか？

定量的なリスク分析は、次の内容の推定に役立ちます:

• 特定のリスクがもたらし得る結果
• 特定の目標を達成できる確率
• 現実的なコスト
• プロジェクト完了までのスケジュール

定量的リスク分析が最も役立つのはいつですか？

定量的リスク評価は、ビジネスにとって賢明でデータに基づいた意思決定を行うのに役立ちます。次の必要がある場合は、定量的なリスク分析を実施してください：

• 特定のプロジェクトやツールに投資するかどうかを判断する
• 潜在的な損失要因を軽減するための対策を選択します
• 予算内かつ予定どおりにプロジェクトを完了できる可能性に関する詳細なデータを提供します
• プロジェクトのための予備費（コンティンジェンシー・リザーブ）を作成します

年間損失予測（Annual Loss Expectancy）とは？

年間損失予測（Annual Loss Expectancy）は、単一の年において特定のリスクが資産にもたらしうる予想金銭損失を見積もるのに役立つ計算です。投資やプロジェクト案ごとに、ALEはビジネスの定量的な費用対効果分析の一部として計算できます。

たとえば、年間損失期待値（ALE）が $10,000 だと計算し、リスクをなくすには年間 $15,000 かかると見積もったとします。これらの数値に基づいて、コストはリスクに見合わないと判断するかもしれません。

もちろん、すべての状況がそれほど単純とは限りません。たとえば、HIPAA violation は、違反1件あたり最大で罰金が $250,000 までとすると、費用が $100 かかるかもしれない、と理解しているとします。それは管理可能に見えるかもしれませんが、これまで考慮していなかった可能性のある情報を掘り下げることで、もしその違反が故意の過失（willful negligence）によるものであれば、影響が最大 $1.5 million に及ぶ可能性があることが分かるかもしれません。この例は、定量的なリスク分析が潜在的なリスクに対して信頼できる客観的な手段を提供する一方で、結果はプロセスに投入したデータの質に左右される、ということを示しています。

さらに、ALE はリスクのコストを決める指標であることを覚えておきましょう。特定のソリューションのコストを評価する総所有コスト（TCO）と、ALE を混同しないでください。

年間損失期待値（ALE）はどのように計算しますか？

ALE を計算する方法の概要を示します。各用語は、以下でさらに詳しく説明します。

1. 情報資産を棚卸しし、各資産の資産価値（AV）を決定します。
2. 各資産に対する潜在的な脅威を特定します。
3. 各脅威について、次の手順を実行します。

#1. 各情報資産について、その脅威に対する曝露係数（EF）を決定します。

#2. この式を使用して、単一損失期待値（Single Loss Expectancy、SLE）を計算します：AV x EF = SLE

#3. 年間発生率（ARO）を計算します。

#4. この式を使用して、年次損失期待値（Annualized Loss Expectancy、ALE）を計算します：SLE x ARO = ALE

• 資産価値 — 多くの アセット は、コンピューター、サーバー、ソフトウェアなどの有形のものです。ほかのアセットは、専門知識、データベース、計画、機密情報のような無形のものです。資産価値とは、その特定の資産の合計価値です。たとえばサーバーの価値が 6,000 ドルなら、AV も 6,000 ドルになります。AV を見つけるために考慮すべき質問は次のとおりです：
• 問題となっているその資産を取得または構築するために、いくら支払いましたか？
• 資産が侵害された場合、あなたが負う責任（負担額／責任範囲）は何ですか？
• 資産が利用できなくなった場合、生産コストはいくらになりますか？
• 資産の価値は、外部ユーザーにとってどの程度ですか？
• 資産を失った場合、ビジネスにどのようなほかの影響が考えられますか？
• 暴露係数（Exposure factor） — 特定のインシデントの結果として失われる、ある資産の価値の割合（%）です。インシデントで資産価値の4分の1を失うと見込むなら、その資産のEFは 0.25（25%）になります。EFは、セキュリティ侵害や自然災害などの「特定のリスク」と関連づけてのみ算出できることを覚えておいてください。また、損失が資産価値を上回ることもあり、その場合はEFが1.0より大きく（100%超）なります。
• 単一損失期待値 — これは、特定の資産が失われたり侵害されたりするたびに、どれだけの金額を失うと見込むかを示す金額です。たとえば、業務用サーバーがダウンするたびに 300ドルを失うと見込む場合もあれば、ノートパソコンが紛失または盗難に遭うたびに 1,500ドルを失う可能性もあります。単一損失期待値を計算するには、AV と EF を掛け合わせます。
• 年間発生率 — これは、特定のインシデントが1年間に発生する回数として見込むものです。たとえば、サーバーが年に5回クラッシュすると予想するなら、AROは5になります。AROが1未満の場合は、割合（パーセンテージ）として表します。たとえば、インシデントが4年に1回の頻度で起こる可能性がある場合、そのインシデントのAROは0.25（25%）になります。

例

ALE を計算し、ビジネス上の意思決定に活用する練習ができるように、架空のシナリオを用意しました。これは非常に単純化した計算であり、「1つの脅威が1つの情報資産に与える影響」のみを考慮している点に注意してください。

たとえば、組織が、特定の知的財産（IP）を失うリスクを低減するために、悪意のあるインサイダーの行為 をファイルサーバー上で検出できるソリューションへの投資を検討しているとします。では、特定のセキュリティソリューションへの投資が妥当かどうかを判断するには、次のように考えられます。

1. AV を決定します。ここでは、対象となる IP 資産の価値が 75,000 ドルだと仮定します。
2. EF を計算します。ここでは、EF が 0.75（75%）だと仮定します。
3. AV に EF を掛けて SLE を計算します。その結果、SLE は 56,250 ドルになります。
4. ARO を決定します。ここでは、ARO が 0.95 だと仮定します（つまり、任意の 1 年の間に悪意のあるインサイダー行為が発生する確率が 95%であるということです）。
5. ALEを計算します：$56,250（SLE）× 0.95（ARO）＝ $53,357.50（ALE）。
6. 検討している各ソフトウェア ソリューションのコストと、ALEを比較してください。ライセンス費用がALE（$53,357.50）を上回る場合、そのソリューションは投資する価値がありません。

まとめ

定量的リスク評価の一環として 定量的リスクアセスメント で ALE を算出することは、情報に基づいたビジネス上の意思決定を行うために不可欠です。プロセスは時に分かりにくく、骨の折れるものになることがありますが、リスクを確実に特定し、潜在的な損失を正確に算出できれば、より賢い意思決定に役立つ貴重な情報が得られます。ALE をリスク評価ツールとして手元に持っておくことで、コストと便益の分析をより効果的に行い、特定の対策を講じることが投資に値するかどうかを判断できます。