SLE·ARO·ALE 계산: 보안 투자 비용과 예상 손실 비교하기

1장 보안 위험을 금액으로 표현할 수 있을까#

정보보안 위험은 흔히 다음과 같이 표현됩니다.

높음
중간
낮음

또는:

위험도 8점
위험도 5점

처럼 점수화하기도 합니다.

하지만 경영 관점에서는 다른 질문이 필요합니다.

이 사고가 발생하면 실제로 얼마의 손실이 발생할까?

그리고:

이 위험을 줄이기 위해 얼마까지 투자하는 것이 합리적일까?

이 질문에 답하기 위해 사용하는 대표적인 개념이 SLE·ARO·ALE입니다.

원문에서는 ALE를 일정한 가정 아래에서 1년 동안 예상되는 손실을 금액으로 표현한 값으로 정의합니다.

2장 SLE·ARO·ALE의 관계부터 이해하자#

세 개념은 다음과 같이 연결됩니다.

flowchart LR
    AV[자산가치 AV]
    EF[노출계수 EF]
    SLE[단일 사고 손실 SLE]
    ARO[연간 발생률 ARO]
    ALE[연간예상손실 ALE]

    AV --> SLE
    EF --> SLE
    SLE --> ALE
    ARO --> ALE

계산 공식은 다음과 같습니다.

SLE = AV × EF

ALE = SLE × ARO

즉:

자산이 얼마짜리인가
↓
사고 한 번에 얼마나 잃는가
↓
그 사고가 1년에 얼마나 자주 발생하는가
↓
연간 예상 손실은 얼마인가

의 흐름입니다.

3장 AV란 무엇인가#

AV는 Asset Value, 즉 자산가치입니다.

쉽게 말하면:

평가하려는 자산의 경제적 가치가 얼마인가?

를 의미합니다.

예를 들어 한 서비스의 평가 범위를 2억원으로 잡는다면:

AV = 200,000,000원

입니다.

원문의 예제에서도 자산가치 AV를 2억원으로 설정합니다.

4장 자산가치는 단순 장비 가격과 다를 수 있다#

자산가치를 서버 구매 가격으로만 계산하면 실제 위험을 과소평가할 수 있습니다.

예를 들어 서비스 하나의 가치는 다음 요소를 포함할 수 있습니다.

서버 및 인프라
데이터
복구 비용
업무 중단
인건비
매출 손실
계약상 책임

다만 원문에서도 중요한 조건을 하나 제시합니다.

어떤 비용을 포함할 것인지 먼저 정해야 한다는 점입니다.

예를 들어 한 위험에서는 장비 손상만 포함하고 다른 위험에서는 영업 중단까지 포함한다면 두 값을 직접 비교하기 어렵습니다.

5장 EF란 무엇인가#

EF는 Exposure Factor, 노출계수입니다.

한 번의 사고로 자산가치 중 어느 정도가 손실되는지를 비율로 나타냅니다.

예:

AV = 2억원
EF = 25%

라면 사고 한 번에 전체 자산가치의 25%가 손실된다고 가정합니다.

즉:

2억원 × 25%
=
5,000만원

입니다.

6장 SLE란 무엇인가#

SLE는 Single Loss Expectancy, 단일 사고 예상 손실입니다.

공식은 다음과 같습니다.

SLE = AV × EF

원문의 예제 값을 넣으면:

AV = 2억원

EF = 25%

따라서:

SLE
=
2억원 × 0.25
=
5,000만원

입니다.

7장 SLE를 그림으로 이해하면#

flowchart LR
    AV[자산가치<br/>2억원]
    EF[노출계수<br/>25%]

    SLE[단일 사고 손실<br/>5,000만원]

    AV --> SLE
    EF --> SLE

즉 SLE는:

사고가 한 번 발생했을 때 얼마나 잃는가?

를 나타냅니다.

8장 ARO란 무엇인가#

ARO는 Annualized Rate of Occurrence입니다.

1년에 사고가 평균적으로 몇 번 발생할 것으로 예상하는지를 나타냅니다.

예:

ARO = 1

이면 평균적으로 연 1회입니다.

ARO = 2

이면 평균적으로 연 2회입니다.

ARO = 0.5

이면 평균적으로 2년에 1회 수준입니다.

9장 ARO 0.2는 무슨 뜻인가#

원문은 ARO 해석에서 중요한 주의점을 설명합니다.

ARO = 0.2

는 평균적으로 약 5년에 한 번 수준이라는 의미입니다.

하지만:

정확히 5년마다 반드시 한 번 발생한다.

는 뜻은 아닙니다.

사고는:

올해 2번
다음 10년간 0번

처럼 불규칙하게 발생할 수도 있습니다.

ARO는 장기적인 평균 발생률 추정치로 이해해야 합니다.

10장 ALE란 무엇인가#

ALE는 Annualized Loss Expectancy, 연간예상손실입니다.

공식은 다음과 같습니다.

ALE = SLE × ARO

즉:

사고 한 번의 손실 × 1년 동안 예상되는 사고 횟수

입니다.

11장 ALE 계산 예제#

원문에서는 다음 값을 사용합니다.

변수 값
AV 2억원
EF 25%
SLE 5,000만원
ARO 0.4
ALE 2,000만원

계산 과정은 다음과 같습니다.

SLE
=
2억원 × 25%
=
5,000만원

그리고:

ALE
=
5,000만원 × 0.4
=
2,000만원

입니다.

12장 전체 계산 흐름#

flowchart LR
    A[AV<br/>2억원]
    B[EF<br/>25%]

    C[SLE<br/>5,000만원]

    D[ARO<br/>0.4]

    E[ALE<br/>2,000만원]

    A --> C
    B --> C
    C --> E
    D --> E

이 계산은 결국 다음 질문에 답합니다.

현재 아무 조치를 하지 않을 경우 이 위험 때문에 연간 얼마를 잃을 것으로 예상하는가?

13장 ALE가 중요한 이유는 보안 투자를 비교할 수 있기 때문이다#

보안 통제에는 비용이 듭니다.

예를 들어 다음 대책이 있다고 하겠습니다.

MFA
WAF
백업 시스템
이중화
EDR
보안관제
접근통제

보안 담당자는 보통 다음 질문을 받습니다.

이 대책에 왜 이만큼 돈을 써야 하는가?

ALE를 사용하면 위험을 금액으로 표현해 비교할 수 있습니다.

14장 통제 적용 전후 ALE를 비교해보자#

원문에서는 통제를 적용하기 전:

ALE = 2,000만원

이라고 가정합니다.

보안 통제 후 ARO가:

0.4
→
0.1

로 감소했다고 가정합니다.

SLE가 그대로 5,000만원이라면:

통제 후 ALE
=
5,000만원 × 0.1
=
500만원

입니다.

15장 위험 감소 효과를 계산하면#

통제 전:

2,000만원

통제 후:

500만원

이므로 예상 손실 감소액은:

2,000만원 - 500만원
=
1,500만원

입니다.

flowchart LR
    B[통제 전 ALE<br/>2,000만원]
    C[보안 통제]
    A[통제 후 ALE<br/>500만원]

    B --> C --> A

16장 이제 보안 통제 비용을 넣어본다#

원문에서는 연간 보안 통제 비용을:

800만원

으로 가정합니다.

예상 손실 감소액이 1,500만원이므로:

1,500만원
-
800만원
=
700만원

의 단순 순편익이 남습니다.

원문의 계산식으로 표현하면:

2,000 - 500 - 800
=
700만원

입니다.

17장 보안 투자 판단 구조#

flowchart TB
    BEFORE[통제 전 ALE<br/>2,000만원]

    CONTROL[보안 통제<br/>연 800만원]

    AFTER[통제 후 ALE<br/>500만원]

    SAVING[예상 손실 감소<br/>1,500만원]

    BENEFIT[단순 순편익<br/>700만원]

    BEFORE --> SAVING
    AFTER --> SAVING

    SAVING --> BENEFIT
    CONTROL --> BENEFIT

이런 계산을 사용하면 보안 투자에 대해 단순히:

위험하니까 해야 합니다.

라고 설명하는 것보다 경제적인 판단 근거를 제시할 수 있습니다.

18장 하지만 700만원이 실제 수익이라는 뜻은 아니다#

여기서 매우 중요한 점이 있습니다.

원문은 이 수치들이 가상 사례를 위한 추정값이며 실제 효과를 입증한 측정값이 아니다라고 명확히 설명합니다.

즉:

700만원
=
실제 현금 수익

이라는 뜻이 아닙니다.

정확하게는:

설정한 위험 가정 아래에서 계산된 기대값

에 가깝습니다.

19장 ALE는 확정 손실이 아니라 기대값이다#

ALE가 2,000만원이라고 해서 매년 정확히 2,000만원의 손실이 발생하는 것은 아닙니다.

예를 들어 실제 결과는:

1년차: 사고 없음
2년차: 사고 없음
3년차: 8,000만원 손실
4년차: 사고 없음

처럼 나타날 수 있습니다.

ALE는 장기적인 평균적 위험 비용을 비교하기 위한 값입니다.

20장 그래서 단일 숫자만 믿으면 위험하다#

AV, EF, ARO는 모두 추정값일 수 있습니다.

특히:

EF
ARO

는 정확한 값을 산출하기 어려운 경우가 많습니다.

따라서 원문에서는 하나의 숫자만 계산하는 대신:

  • 낙관
  • 기준
  • 비관

시나리오를 계산하라고 권합니다.

21장 시나리오 분석 예제#

예를 들어 같은 자산에 대해 다음처럼 가정할 수 있습니다.

시나리오 SLE ARO ALE
낙관 3,000만원 0.1 300만원
기준 5,000만원 0.4 2,000만원
비관 8,000만원 0.8 6,400만원

이 표는 계산 방법을 설명하기 위한 예시입니다.

핵심은:

ALE = 하나의 확정 숫자

로 생각하지 않는 것입니다.

22장 시나리오를 Mermaid로 보면#

flowchart TB
    R[하나의 위험]

    O[낙관 시나리오]
    B[기준 시나리오]
    P[비관 시나리오]

    O --> O1[낮은 EF·ARO]
    B --> B1[기준 EF·ARO]
    P --> P1[높은 EF·ARO]

    R --> O
    R --> B
    R --> P

실무에서는 이 세 범위를 비교하는 편이 하나의 숫자만 제시하는 것보다 현실적일 수 있습니다.

23장 평가 범위를 반드시 먼저 정해야 한다#

원문에서 특히 중요한 부분입니다.

같은 위험을 비교하려면 비용 포함 범위가 동일해야 합니다.

예를 들어 첫 번째 평가에서는:

장비 교체비

만 계산하고,

두 번째 평가에서는:

장비 교체비
+ 복구 인건비
+ 영업 중단
+ 고객 보상

을 포함하면 직접 비교가 어렵습니다.

24장 손실 범위를 어디까지 넣을 것인가#

평가 기준에는 다음 항목이 포함될 수 있습니다.

직접 자산 손실
복구 비용
추가 인건비
서비스 중단
매출 손실
고객 보상

다만 모든 항목을 무조건 포함해야 한다는 의미는 아닙니다.

중요한 것은 비교하려는 위험과 대책에 같은 기준을 적용하는 것입니다.

25장 평가 기간도 같아야 한다#

예를 들어 보안 통제 비용이:

월 100만원

이라면 연간 비용으로 비교할 때:

1,200만원

으로 맞춰야 합니다.

ALE가 연간 지표이기 때문입니다.

flowchart LR
    ALE[연간 예상 손실]
    COST[연간 통제 비용]
    CMP[동일 기간 비교]

    ALE --> CMP
    COST --> CMP

평가 기간이 다르면 숫자가 정확해 보여도 비교가 왜곡될 수 있습니다.

26장 통제는 ARO만 줄이는 것은 아니다#

원문의 사례에서는 통제로 ARO가 감소하는 예를 사용합니다.

하지만 개념적으로는 통제가:

사고 발생 가능성

을 낮출 수도 있고:

사고가 났을 때 피해 규모

를 줄일 수도 있습니다.

즉 어떤 통제는 ARO에 더 큰 영향을 주고, 어떤 통제는 SLE 쪽 영향을 줄 수 있습니다.

27장 예를 들어 백업은 무엇을 줄일까#

백업은 공격 자체의 발생률을 크게 줄이지 않을 수도 있습니다.

대신 사고가 발생했을 때:

데이터 복구
업무 복구
중단시간 감소

등을 통해 손실 규모를 줄이는 방향으로 작용할 수 있습니다.

개념적으로:

flowchart LR
    EVENT[사고 발생]
    NO[복구 수단 없음<br/>손실 큼]
    YES[백업·복구 있음<br/>손실 감소]

    EVENT --> NO
    EVENT --> YES

처럼 이해할 수 있습니다.

28장 반대로 MFA는 어디에 영향을 줄까#

MFA는 계정 탈취 같은 사고의 발생 가능성을 낮추기 위한 통제로 볼 수 있습니다.

개념적으로:

ARO 감소

방향으로 설명할 수 있습니다.

하지만 실제 감소 폭은 환경과 위협에 따라 달라지므로 임의 숫자를 넣기보다 실제 데이터와 평가 근거가 필요합니다.

29장 ALE 계산을 위험관리와 연결하면#

ALE는 독립적인 계산 문제가 아닙니다.

위험관리 전체 과정 안에서 사용해야 합니다.

flowchart LR
    A[자산 식별]
    B[위험 시나리오]
    C[SLE 계산]
    D[ARO 추정]
    E[ALE 계산]
    F[통제 선택]
    G[통제 후 ALE]
    H[투자 판단]
    I[실제 결과 갱신]

    A --> B --> C --> D --> E --> F --> G --> H --> I

즉 계산 자체보다 위험관리 의사결정에 어떻게 연결하느냐가 더 중요합니다.

30장 실제 보안 투자 검토표 예제#

항목 통제 전 통제 후
AV 2억원 2억원
EF 25% 25%
SLE 5,000만원 5,000만원
ARO 0.4 0.1
ALE 2,000만원 500만원
연간 통제비 - 800만원
단순 순편익 - 700만원

원문의 가상 사례를 표로 다시 정리한 것입니다.

31장 ALE가 작은 위험은 무시해도 될까#

아닙니다.

원문에서도 이 질문에 명확히 주의를 줍니다.

금액으로 표현하기 어려운 요소가 있기 때문입니다.

예:

인명 피해
법적 의무
기업 신뢰
브랜드 손상
극단적 대형 사고

이런 위험은 단순 ALE만으로 판단하기 어렵습니다.

32장 규제나 법적 의무가 있는 통제는 계산만으로 빼면 안 된다#

예를 들어 어떤 통제의 경제적 효과가 작아 보이더라도:

법적 의무
계약상 요구
규제 기준

때문에 반드시 수행해야 할 수 있습니다.

즉:

통제 비용 > ALE 감소액

이라고 해서 자동으로:

통제 불필요

라고 결론 내릴 수 없습니다.

ALE는 경제적 판단을 돕는 하나의 도구입니다.

33장 극단적 사고도 따로 봐야 한다#

발생 가능성이 매우 낮지만 한번 발생하면 조직 존속에 영향을 줄 수 있는 사고가 있습니다.

예:

대규모 데이터 유출
핵심 서비스 장기 중단
중대한 법적 책임

이런 위험은 평균값으로만 보면 중요도가 작아 보일 수 있습니다.

따라서:

flowchart TB
    ALE[ALE 분석]
    LAW[법적·규제 영향]
    EXTREME[극단적 사고]
    REPUTE[신뢰·평판]
    DECISION[최종 의사결정]

    ALE --> DECISION
    LAW --> DECISION
    EXTREME --> DECISION
    REPUTE --> DECISION

처럼 함께 고려해야 합니다.

34장 ALE 계산에서 가장 어려운 것은 공식이 아니다#

공식 자체는 간단합니다.

SLE = AV × EF

ALE = SLE × ARO

어려운 것은 숫자를 정하는 과정입니다.

특히:

AV를 얼마로 볼 것인가

EF를 몇 %로 볼 것인가

ARO를 얼마나 신뢰할 수 있는가

가 핵심입니다.

35장 ARO는 어디서 추정할까#

원문은 구체적인 데이터 출처를 제시하지는 않습니다.

다만 실제 적용에서는 조직이 보유한 사고 기록과 운영 데이터를 활용해 추정치를 계속 보정하는 접근이 중요합니다.

원문 역시 투자 이후 실제 사고와 통제 효과를 이용해 추정치를 갱신해야 한다고 설명합니다.

즉 처음 값이 완벽할 필요는 없지만 시간이 지나면서 실제 데이터로 보정해야 합니다.

36장 추정치를 계속 업데이트하는 구조#

flowchart LR
    A[초기 추정]
    B[ALE 계산]
    C[보안 통제 적용]
    D[실제 사고 데이터]
    E[ARO·EF 재평가]
    F[새 ALE]

    A --> B --> C --> D --> E --> F
    F --> C

이 구조가 중요한 이유는 위험 환경이 계속 변하기 때문입니다.

37장 보안 투자 의사결정에서 사용할 질문#

ALE 계산 결과를 보고 다음 질문을 던질 수 있습니다.

통제 전 연간 예상 손실은 얼마인가?

통제 후 예상 손실은 얼마인가?

통제 비용은 얼마인가?

위험 감소액은 얼마인가?

규제나 법적 의무는 있는가?

극단적 손실 가능성은 있는가?

수치 추정의 신뢰도는 어느 정도인가?

이 질문을 함께 봐야 실제 의사결정에 도움이 됩니다.

38장 SLE·ARO·ALE 계산 실전 순서#

1단계 자산 범위를 정한다#

AV

를 정합니다.

2단계 사고 한 번의 손실 비율을 정한다#

EF

를 추정합니다.

3단계 SLE를 계산한다#

SLE = AV × EF

4단계 연간 사고 빈도를 추정한다#

ARO

를 정합니다.

5단계 ALE를 계산한다#

ALE = SLE × ARO

6단계 통제 후 값을 다시 계산한다#

7단계 통제 비용과 비교한다#

8단계 실제 사고 데이터로 값을 갱신한다#

39장 전체 흐름을 한 번에 보면#

flowchart TB
    AV[AV<br/>자산가치]
    EF[EF<br/>노출계수]

    SLE[SLE<br/>단일 사고 손실]

    ARO[ARO<br/>연간 발생률]

    ALE[ALE<br/>연간예상손실]

    CONTROL[보안 통제]

    NEWALE[통제 후 ALE]

    COST[통제 비용]

    DECISION[투자 판단]

    AV --> SLE
    EF --> SLE

    SLE --> ALE
    ARO --> ALE

    ALE --> CONTROL
    CONTROL --> NEWALE

    NEWALE --> DECISION
    COST --> DECISION

SLE·ARO·ALE FAQ#

SLE란 무엇인가#

SLE는 Single Loss Expectancy로 사고가 한 번 발생했을 때 예상되는 손실입니다.

SLE = AV × EF

로 계산합니다.

ARO란 무엇인가#

ARO는 Annualized Rate of Occurrence로 1년 동안 사고가 평균적으로 몇 번 발생할 것으로 예상하는지를 나타냅니다.

ARO가 0.2이면 무엇을 의미하나#

평균적으로 약 5년에 한 번 수준의 발생률을 의미합니다. 하지만 정확히 매 5년마다 사고가 발생한다는 의미는 아닙니다.

ALE란 무엇인가#

ALE는 Annualized Loss Expectancy로 연간 예상 손실입니다.

ALE = SLE × ARO

로 계산합니다.

AV와 EF는 무엇인가#

AV는 평가 대상의 자산가치이고, EF는 사고 한 번으로 예상되는 손실 비율입니다.

ALE가 낮으면 보안 대책을 하지 않아도 되는가#

아닙니다. 인명 피해, 법적 의무, 신뢰 손상, 극단적 사고 등 금액만으로 평가하기 어려운 요소를 함께 고려해야 합니다.

보안 통제의 경제성을 어떻게 비교할 수 있는가#

통제 전 ALE와 통제 후 ALE의 차이에서 연간 통제 비용을 빼는 방식으로 단순한 경제적 효과를 비교할 수 있습니다.

ALE 계산은 정확한 예측인가#

아닙니다. AV·EF·ARO 모두 가정이나 추정값이 포함될 수 있으므로 의사결정을 돕는 모델로 이해해야 합니다.

왜 낙관·기준·비관 시나리오가 필요한가#

사고 빈도와 손실 비율을 정확하게 예측하기 어려운 경우가 많기 때문입니다. 원문에서도 세 가지 시나리오를 계산하도록 권합니다.

핵심 정리#

SLE·ARO·ALE 계산은 다음 두 공식으로 정리할 수 있습니다.

SLE = AV × EF

ALE = SLE × ARO

각 변수의 의미는 다음과 같습니다.

항목 의미
AV 자산가치
EF 사고 한 번의 손실 비율
SLE 단일 사고 예상 손실
ARO 연간 예상 발생 횟수
ALE 연간 예상 손실

원문의 가상 사례를 그대로 적용하면:

AV = 2억원
EF = 25%

SLE
= 2억원 × 25%
= 5,000만원

ARO = 0.4

ALE
= 5,000만원 × 0.4
= 2,000만원

입니다.

통제를 적용해 ARO가 0.1로 줄어들면:

통제 후 ALE
=
5,000만원 × 0.1
=
500만원

입니다.

연간 통제 비용이 800만원이라면:

2,000만원
-
500만원
-
800만원
=
700만원

이라는 단순 순편익을 계산할 수 있습니다.

그러나 이 숫자를 절대적인 정답으로 보면 안 됩니다.

원문이 강조하듯:

평가 기간과 비용 범위를 맞추고

낙관·기준·비관 시나리오를 비교하며

실제 사고와 통제 효과를 바탕으로

추정치를 계속 갱신해야 합니다.

결국 ALE의 가장 중요한 목적은 정확한 미래 예측이 아닙니다.

보안 위험을 경제적인 언어로 표현하고, 예상 손실과 통제 비용을 같은 기준에서 비교하여 더 나은 투자 결정을 내리는 것이 핵심입니다.

이 페이지의 목차