Skip to content
Discebo.dk

§ 18

Quantitative risk assessment (SLE, ARO, ALE)

Can the measure pay off?

Answer: Should you buy a new backup system, an EDR solution or an extra firewall? A quantitative risk assessment compares the expected annual loss (ALE) with and without the measure against the measure's annual cost. Enter the asset value, what fraction is lost per incident (EF), how often the incident is expected per year (ARO) before and after the measure, and the measure's cost.

Formula

SLE (single loss expectancy) = aktivets værdi × exposure factor

ALE (annualized loss expectancy) = SLE × ARO (annualized rate of occurrence)

Nettogevinst = ALE uden tiltag − ALE med tiltag − tiltagets årlige pris

Symbols and units in the formula
SymbolMeaningUnit
vaerdiAsset value (data, operation, restoration)kr
ef_pctLoss per incident (exposure factor)%
aro_foerExpected events per year without the measure (ARO)pr. år
aro_efterExpected events per year with the measurepr. år
tiltag_prisThe measure's annual price (licence, operation, hours)kr/år
=Annual net gain from the initiativekr/år
=Loss per incident (SLE)kr
=Expected annual loss without the measure (ALE)kr/år
=Expected annual loss with the measurekr/år

Validity and source

Source
Kvantitativ risikoanalyse: SLE = værdi × EF, ALE = SLE × ARO (ISC² CISSP CBK; risiko = sandsynlighed × konsekvens, NIST SP 800-30)

Does not apply when

  • The figures are estimates and an ARO of 0.2 means «once every fifth year». Use the calculator to prioritise and explain a decision, not as gospel. Loss of life, health and reputation cannot be put in money here and must be assessed qualitatively alongside.

Worked example

The calculator's own default values inserted. The figures are calculated with exactly the formula the tool uses.

Substituted

  • Asset value (data, operation, restoration)2,000,000 kr
  • Loss per incident (exposure factor)40 %
  • Expected events per year without the measure (ARO)0.20 pr. år
  • Expected events per year with the measure0.05 pr. år
  • The measure's annual price (licence, operation, hours)60,000 kr/år

Giver

  • Annual net gain from the initiative60,000 kr/år
  • Loss per incident (SLE)800,000 kr
  • Expected annual loss without the measure (ALE)160,000 kr/år
  • Expected annual loss with the measure40,000 kr/år

Members only

The calculator itself is locked

Create a free user account to unlock all articles, calculators, templates and range — and get access to quizzes and classes. It takes less than a minute: name, email and a password. No payment card.

Create free user →Log in

Want to try something first? See what you can use without an account — the junior zone, the encyclopedia, the videos and more.

Sådan bruger du den

Når ledelsen skal vælge mellem flere sikkerhedstiltag, hjælper det at sætte tal på. En kvantitativ risikovurdering regner det forventede årlige tab (ALE) uden og med tiltaget og sammenligner forskellen med tiltagets pris. Den bruges i risikovurderingen efter ISO 27001 og NIS2-arbejdet.

Step by step

  1. Sæt en værdi på aktivet: data, drift, genetablering og bøder.
  2. Skøn hvor stor en del der tabes ved én hændelse (exposure factor). Det giver SLE.
  3. Skøn hvor mange gange om året hændelsen sker (ARO). 0,2 betyder én gang hvert femte år.
  4. ALE = SLE × ARO. Regn det før og efter tiltaget.
  5. Træk tiltagets årlige pris fra besparelsen. Positivt tal betyder, at tiltaget betaler sig.

Typical errors

  • At tro tallene er præcise. ARO og EF er skøn, så prøv med høje og lave værdier for at se om konklusionen holder.
  • At glemme de bløde tab. Omdømme, kundetillid og persondata skal vurderes ved siden af tallene.
  • At regne tiltagets pris uden timer til drift og vedligehold.

Examples from everyday life

Bedre backup mod ransomware

Et ransomware-angreb vil koste ca. 40 % af en driftsværdi på 2 mio. kr. Du skønner ét angreb hvert femte år nu og ét hvert tyvende år med immutable backup til 60.000 kr om året.

Asset value (data, operation, restoration)
2,000,000 kr
Loss per incident (exposure factor)
40 %
Expected events per year without the measure (ARO)
0.2 pr. år
Expected events per year with the measure
0.05 pr. år
The measure's annual price (licence, operation, hours)
60,000 DKK/year

It means: SLE er 800,000 kr, ALE falder fra 160,000 DKK/year til 40,000 DKK/year, og nettogevinsten er 60,000 DKK/year. Tiltaget betaler sig.

MFA mod phishing

Kompromitterede konti koster ca. 30 % af 500.000 kr i oprydning og nedetid. Det sker ca. to gange om året. Med MFA til 40.000 kr om året skønner du en halv gang.

Asset value (data, operation, restoration)
500,000 kr
Loss per incident (exposure factor)
30 %
Expected events per year without the measure (ARO)
2 pr. år
Expected events per year with the measure
0.5 pr. år
The measure's annual price (licence, operation, hours)
40,000 DKK/year

It means: ALE falder fra 300,000 DKK/year til 75,000 DKK/year, og nettogevinsten er 185,000 DKK/year. Det er et klart ja.

Dyr firewall til et lille problem

En sjælden hændelse rammer 20 % af 300.000 kr cirka hvert tiende år. En ny firewall til 50.000 kr om året halverer sandsynligheden.

Asset value (data, operation, restoration)
300,000 kr
Loss per incident (exposure factor)
20 %
Expected events per year without the measure (ARO)
0.1 pr. år
Expected events per year with the measure
0.05 pr. år
The measure's annual price (licence, operation, hours)
50,000 DKK/year

It means: ALE falder kun fra 6,000 DKK/year til 3,000 DKK/year, og nettogevinsten er -47,000 DKK/year. Pengene gør mere gavn et andet sted.

Rule of thumb

Er tiltagets årlige pris lavere end ALE-faldet, betaler det sig. ARO 1 betyder én gang om året, ARO 0,1 én gang hvert tiende år.

How to check the answer

Gang SLE med ARO-faldet, og træk prisen fra. Det skal give nettogevinsten.