Materi
Analisis kuantitatif memakai angka yang maknanya tetap di luar penilaian, sehingga hasilnya bisa dijumlahkan dan dibandingkan dengan biaya penanganan. NIST SP 800-30 Rev. 1 mencatat kelemahannya juga: ketelitiannya turun jauh bila angka-angka di dalamnya sebenarnya tebakan yang disamarkan. NIST IR 8286Ar1 §2.2.4 membedakan dua cara menyatakan dampak: kerugian untuk satu kali kejadian (single loss expectancy, SLE) dan total kerugian risiko itu selama satu tahun (annualized loss expectancy, ALE).
Rumusnya, seperti di materi lokakarya NIST NICE: SLE = AV × EF, dan ALE = SLE × ARO. AV (asset value) adalah nilai aset. EF (exposure factor) adalah bagian nilai aset yang hilang dalam satu kejadian, ditulis sebagai pecahan: rusak 40% berarti 0,4. ARO (annualized rate of occurrence) adalah berapa kali kejadian diperkirakan terjadi dalam setahun; kejadian yang terjadi sekali tiap lima tahun punya ARO 1 ÷ 5 = 0,2.
ALE menyamakan risiko yang jarang tetapi besar dengan risiko yang sering tetapi kecil ke satuan yang sama, yaitu rupiah per tahun. NIST IR 8286r1 menambahkan dua hal: kerugian sekunder, seperti pelanggan yang pergi, ikut dihitung agar dampak tidak diremehkan, dan organisasi didorong menyatakan risiko dalam rupiah bila memungkinkan agar prioritas dan perlakuannya dapat dipertanggungjawabkan.
Contoh: lemari pendingin daging senilai Rp400.000.000; korsleting merusak seperempat nilainya, dan diperkirakan terjadi sekali tiap lima tahun.
SLE = 400.000.000 × 0,25 = 100.000.000
ARO = 1 ÷ 5 = 0,2
ALE = 100.000.000 × 0,2 = 20.000.000 per tahun