홍라이프 계산기SLE·연간 예상 손실 계산 쉽게 이해하기 — 개념과 원리
연간 예상 손실(ALE)은 보안 위험을 1년 평균 금액으로 나타내는 대표적인 방법입니다. '이 위협 때문에 해마다 평균 얼마를 잃는가'와, 대책 전후를 비교해 '이 보안 대책은 비용만큼 가치가 있는가'에 답합니다. 보안 위험관리 교육과 자격시험, 보안 예산을 경영진과 논의할 때 자주 쓰입니다.
계산 방법
- 단일 손실 예상액: SLE = AV × EF입니다. AV는 자산 가치, EF는 한 번의 사고로 잃는 자산의 비율(노출 계수)입니다.
- 연간 예상 손실: ALE = SLE × ARO입니다. ARO는 1년에 예상되는 사고 횟수(연간 발생률)로, 0.2는 5년에 한 번을 뜻합니다.
- 대책 후 ALE: SLE × 대책 적용 후 ARO입니다.
- 대책의 연간 가치: 대책 전 ALE − 대책 후 ALE − 대책의 연간 비용입니다.
금액은 모두 입력한 통화 단위 그대로이며, ARO는 연간 비율입니다.
원리
ALE는 기댓값입니다. 한 번 사고가 났을 때의 손실에 평균 발생 횟수를 곱합니다. 150,000의 손실이 평균 5년에 한 번 생긴다면 해마다 30,000씩 나누어 부담하는 것과 같습니다. 대책이 줄여 주는 연간 손실이 대책의 연간 비용보다 크면 도입할 가치가 있습니다. 이 모델은 사고마다 손실이 비슷하고, 사고가 서로 독립이며, 발생률을 어느 정도 안다고 가정합니다. 예방 대책은 주로 ARO를, 백업처럼 피해를 줄이는 대책은 EF를 낮춥니다.
예제 풀이
- 입력값은 자산 가치 500,000, EF 30%, ARO 0.2, 대책 비용 연 20,000, 대책 후 ARO 0.05입니다.
- SLE = 500,000 × 0.30 = 150,000입니다.
- 대책 전 ALE = 150,000 × 0.2 = 30,000입니다.
- 대책 후 ALE = 150,000 × 0.05 = 7,500입니다.
- 대책의 가치 = 30,000 − 7,500 − 20,000 = 연 2,500입니다.
| 자산 가치 | 통제 전 ALE |
|---|---|
| 125,000 | 7,500 |
| 250,000 | 15,000 |
| 375,000 | 22,500 |
| 500,000 | 30,000 |
| 625,000 | 37,500 |
| 750,000 | 45,000 |
| 1e+06 | 60,000 |
결과 해석
값이 양수이면 대책이 비용보다 더 많은 손실을 막을 것으로 예상되고, 음수이면 막는 평균 손실보다 비용이 더 큽니다. 예제의 2,500은 ARO 추정의 불확실성에 비해 작은 차이라서 가정이 조금만 달라져도 결론이 뒤집힐 수 있습니다. 결정하기 전에 낙관적·비관적 입력값으로 모두 계산해 보는 것이 좋습니다.
흔한 실수
- 장비 가격만 자산 가치로 잡고 데이터, 업무 중단, 법적 비용, 평판 손실을 빠뜨립니다.
- ARO를 확률로 착각합니다. ARO는 빈도이므로 자주 일어나는 사고는 1을 넘을 수 있습니다.
- 평균값이 나쁜 해의 손실도 설명한다고 생각합니다. 드문 사고는 대부분의 해에는 손실이 0이고 어느 한 해에 크게 발생합니다.
자주 묻는 질문
노출 계수는 어떻게 정합니까?
시나리오마다 다릅니다. 백업이 잘 된 랜섬웨어 피해는 일부만 잃지만, 전체 데이터 유출은 100%에 가까울 수 있습니다.
ARO는 어디에서 구합니까?
자체 사고 이력, 업계 침해 보고서, 보험사 자료, 전문가 판단을 참고하고 각 숫자의 근거를 기록해 둡니다.
대책의 가치는 ROSI와 같습니까?
비슷한 개념입니다. 보안 투자 수익률은 순이익을 대책 비용으로 나누므로 예제에서는 2,500 ÷ 20,000 = 12.5%입니다.
출처: NIST SP 800-30 Rev. 1, Guide for Conducting Risk Assessments · ISO/IEC 27005, Information security risk management