定量的リスク分析とは
定量的リスク分析（ていりょうてきりすくぶんせき）とは、リスクアセスメントの過程において、予測される危険の影響度や発生確率を「金額」や「発生回数」などの具体的な数値を使って計算し、評価する方法です。主観を交えずに客観的なデータに基づいてリスクを比較できるため、セキュリティ対策にどれだけの費用（予算）を投じるべきかという投資対効果（対費用効果）を論理的に判断する際に非常に役立ちます。
この分析では、以下のような計算式を用いて損失の見込み額を算出します。
年間予想損失額（ALE）＝ 1回あたりの予想損失額（SLE）× 年間発生率（ARO）具体例
社内のWebサーバーがサイバー攻撃で停止するリスクを分析してみましょう。
- サーバーが1回停止した際、復旧作業や営業機会の損失で「100万円」の損害が出ると仮定します（1回あたりの予想損失額）。
- 過去のデータから、この攻撃が年に「0.2回（5年に1回）」発生すると見込まれるとします（年間発生率）。
- これらを掛け合わせると、年間予想損失額は 100万円 × 0.2 ＝ 「20万円」 と計算できます。
この結果から、「年間20万円の損失を防ぐために、年間100万円のセキュリティシステムを導入するのはコストが合わない（他の対策を考えるべきだ）」と判断することができます。
もう少し詳しく
定量的リスク分析（Quantitative Risk Analysis）は、不確実なイベントの影響を数学的・統計的モデルを用いて数値化する手法です。ビジネスの現場では、セキュリティ対策費用の承認を得るために、経営陣に対して「この対策を行うことで、どれだけの金銭的損失を防げるか」を明確に示す必要があります。その際に定量的リスク分析は非常に説得力のある材料となります。主な指標としては、単一損失予想（SLE: Single Loss Expectancy）、年間発生率（ARO: Annual Rate of Occurrence）、そして年間損失予想（ALE: Annual Loss Expectancy）が用いられます。SLEは資産価値と暴露係数（被害を受ける割合）を掛け合わせて算出し、それにAROを掛け合わせることでALE（年間で発生すると予想される損失の総額）を求めます。ただし、この分析には過去の膨大なセキュリティ事故データや、資産の正確な価値評価が必要となるため、分析にかかるコストや時間が膨大になりやすいという課題もあります。
試験でのポイント
試験対策としては、定量的リスク分析で使われる計算式や用語のアルファベット略称（ALE、SLE、ARO）の意味と、それらを使った計算問題が解けるようになっている必要があります。具体的には、「1回あたりの損失額（SLE）」と「年間の発生頻度（ARO）」が提示され、「年間予想損失額（ALE）」を計算させる問題や、セキュリティ対策を導入した後のALEの減少幅と対策コストを比較させて、投資対効果の有無を判定させる問題が出題されます。また、定性的リスク分析との違いとして、「客観的で意思決定のためのビジネスケースを作りやすい反面、信頼性の高い数値データの入手が困難な場合がある」というメリット・デメリットを整理して理解しておくことが重要です。
関連する用語
定量的リスク分析に関連する用語には、簡便にリスクレベルを判定する「定性的リスク分析」、全体的なプロセスである「リスクアセスメント」、そして分析結果に基づいて対策を実行する「リスク対応（回避・低減・移転・受容）」があります。