ランサムウェアの被害について、1回の被害額(SLE)を4000万円、年間の発生回数(ARO)を0.5回と見積もった。対策Aは年間の費用が600万円で、発生回数を年0.2回に下げる。対策Bは年間の費用が300万円で、発生回数は変わらないが、復旧を早めて1回の被害額を2400万円に下げる。年間予想損失額(ALE)= SLE × ARO、ROSI =(ALEの減少額 − 対策の年間の費用)÷ 対策の年間の費用 とするとき、ROSIの大きいほうの対策と、その値の組み合わせとして、正しいものはどれか。

正解：A. 対策B、約167%

対策の前のALEは 4000万円 × 0.5 = 2000万円です。対策Aの後は 4000万円 × 0.2 = 800万円で、減少額は1200万円、ROSIは (1200 − 600) ÷ 600 = 1.0 で100%です。対策Bの後は 2400万円 × 0.5 = 1200万円で、減少額は800万円、ROSIは (800 − 300) ÷ 300 ≈ 1.67 で約167%となり、Bのほうが費用あたりの効果が大きくなります。ただし、正味の効果(減少額 − 費用)はAが600万円、Bが500万円でAのほうが大きいので、予算の制約に応じて、比率と金額の両方を見て判断します。

• A. 正しい。(800 − 300) ÷ 300 ≈ 1.67 で、対策Aの1.0より大きくなります。
• B. 対策AのROSIの値です。ALEの減少額(1200万円)はAのほうが大きいものの、ROSIはBより小さくなります。
• C. 費用を引かずに、ALEの減少額を費用で割った値(800 ÷ 300 ≈ 2.67)です。