랜섬웨어 피해에 대해 1회 피해액(SLE)을 4000만 엔, 연간 발생 횟수(ARO)를 0.5회로 추정했다. 대책 A는 연간 비용이 600만 엔이며 발생 횟수를 연 0.2회로 낮춘다. 대책 B는 연간 비용이 300만 엔이며 발생 횟수는 바뀌지 않지만 복구를 앞당겨 1회 피해액을 2400만 엔으로 낮춘다. 연간 예상 손실액(ALE) = SLE × ARO, ROSI = (ALE 감소액 − 대책의 연간 비용) ÷ 대책의 연간 비용으로 할 때, ROSI가 큰 쪽의 대책과 그 값의 조합으로 올바른 것은?

정답: A. 대책 B, 약 167%

대책 전의 ALE는 4000만 엔 × 0.5 = 2000만 엔입니다. 대책 A 후에는 4000만 엔 × 0.2 = 800만 엔으로 감소액은 1200만 엔, ROSI는 (1200 − 600) ÷ 600 = 1.0으로 100%입니다. 대책 B 후에는 2400만 엔 × 0.5 = 1200만 엔으로 감소액은 800만 엔, ROSI는 (800 − 300) ÷ 300 ≈ 1.67로 약 167%가 되어, B 쪽이 비용당 효과가 커집니다. 다만 순효과(감소액 − 비용)는 A가 600만 엔, B가 500만 엔으로 A 쪽이 크므로, 예산 제약에 따라 비율과 금액을 모두 보고 판단합니다.