定量的リスク分析（Quantitative Risk Analysis）は、不確実なイベントの影響を数学的・統計的モデルを用いて数値化する手法です。ビジネスの現場では、セキュリティ対策費用の承認を得るために、経営陣に対して「この対策を行うことで、どれだけの金銭的損失を防げるか」を明確に示す必要があります。その際に定量的リスク分析は非常に説得力のある材料となります。主な指標としては、単一損失予想（SLE: Single Loss Expectancy）、年間発生率（ARO: Annual Rate of Occurrence）、そして年間損失予想（ALE: Annual Loss Expectancy）が用いられます。SLEは資産価値と暴露係数（被害を受ける割合）を掛け合わせて算出し、それにAROを掛け合わせることでALE（年間で発生すると予想される損失の総額）を求めます。ただし、この分析には過去の膨大なセキュリティ事故データや、資産の正確な価値評価が必要となるため、分析にかかるコストや時間が膨大になりやすいという課題もあります。
試験対策としては、定量的リスク分析で使われる計算式や用語のアルファベット略称（ALE、SLE、ARO）の意味と、それらを使った計算問題が解けるようになっている必要があります。具体的には、「1回あたりの損失額（SLE）」と「年間の発生頻度（ARO）」が提示され、「年間予想損失額（ALE）」を計算させる問題や、セキュリティ対策を導入した後のALEの減少幅と対策コストを比較させて、投資対効果の有無を判定させる問題が出題されます。また、定性的リスク分析との違いとして、「客観的で意思決定のためのビジネスケースを作りやすい反面、信頼性の高い数値データの入手が困難な場合がある」というメリット・デメリットを整理して理解しておくことが重要です。
定量的リスク分析に関連する用語には、簡便にリスクレベルを判定する「定性的リスク分析」、全体的なプロセスである「リスクアセスメント」、そして分析結果に基づいて対策を実行する「リスク対応（回避・低減・移転・受容）」があります。