Expectativa de pérdida anual (ALE): fórmula y calculadora
La expectativa de pérdida anual (ALE) es la métrica que convierte «este riesgo parece grave» en una cifra que puedes poner junto al precio de un control. Es el coste esperado de un riesgo a lo largo de un año, y su fórmula es lo bastante sencilla como para hacerla en una pizarra, y por eso es uno de los conceptos más buscados en la gestión de riesgos de seguridad.
¿Quieres la respuesta para tu propio riesgo? Abre la calculadora de ALE: introduce el valor del activo, el factor de exposición y el ritmo anual de ocurrencia y calcula la SLE y la ALE paso a paso.
La fórmula
ALE = SLE × ARO
- SLE (Single Loss Expectancy): el coste de un solo evento. SLE = valor del activo × factor de exposición, donde el factor de exposición es la fracción del activo que se pierde en un solo evento.
- ARO (Annualized Rate of Occurrence): cuántas veces al año esperas el evento. Una vez cada cinco años = 0,2.
Desarrollada por completo: ALE = (valor del activo × factor de exposición) × ARO.
SLE, ARO y factor de exposición de un vistazo
| Término | Qué significa | Cómo obtenerlo | Ejemplo |
|---|---|---|---|
| Valor del activo (AV) | Lo que vale el activo para ti, incluidos los datos que contiene y el coste de recuperarlo | Estimaciones de reemplazo, recuperación e impacto en el negocio | 500.000 USD |
| Factor de exposición (EF) | La fracción del valor del activo que se pierde en un evento, de 0 a 1 | Estimada a partir del impacto de un incidente realista | 0,4 (40 %) |
| Single Loss Expectancy (SLE) | El coste de un solo evento | SLE = AV × EF | 200.000 USD |
| Annualized Rate of Occurrence (ARO) | Cuántas veces al año esperas el evento | 1 ÷ años entre eventos, o eventos por año | 0,2 (una vez cada 5 años) |
| Expectativa de pérdida anual (ALE) | La pérdida esperada al año por este riesgo | ALE = SLE × ARO | 40.000 USD al año |
Convertir la frecuencia en ARO: una vez cada diez años es 0,1, una vez cada cinco años es 0,2, una vez al año es 1 y cuatro veces al año es 4. El ARO puede ser mayor que 1 para eventos que ocurren más de una vez al año.
Ejemplos resueltos
Ejemplo 1: una brecha de base de datos. Una base de datos de clientes está valorada en 500.000 USD. Una brecha comprometería el 40 % de su valor, así que el factor de exposición es 0,4 y SLE = 500.000 USD × 0,4 = 200.000 USD. Estimas que una brecha así ocurre una vez cada cinco años, así que ARO = 0,2. Por tanto, ALE = 200.000 USD × 0,2 = 40.000 USD al año. Si un control que reduce ese riesgo de forma significativa cuesta menos de 40.000 USD al año, probablemente vale la pena; si cuesta mucho más, los números dicen que lo reconsideres.
Ejemplo 2: laptops perdidas. Reemplazar y reinstalar una laptop cuesta 2.500 USD, y una laptop perdida es una pérdida total, así que el factor de exposición es 1,0 y SLE = 2.500 USD. Si tu flota pierde seis laptops al año, ARO = 6 y ALE = 2.500 USD × 6 = 15.000 USD al año. Es un evento frecuente y de bajo coste, la forma opuesta al Ejemplo 1, y muestra por qué el ARO no está limitado a 1.
Por qué la ALE es útil
Convierte los riesgos en una moneda común —dólares al año— para que puedas ordenarlos y comparar cada uno con el coste de mitigarlo. Eso es el núcleo de justificar el gasto en seguridad ante un CFO.
Las advertencias
La ALE es tan buena como sus datos, y el ARO en particular es difícil de estimar para eventos raros. También promedia la varianza, así que subestima el riesgo de cola catastrófico (un desastre de una vez cada 20 años parece pequeño anualizado). Usa la ALE para estructurar las comparaciones y justificar los controles, y combínala con análisis de escenarios para eventos de baja probabilidad y alto impacto. Para la diferencia entre la pérdida de un solo evento y la anualizada, consulta SLE frente a ALE. Cuando un ARO de un solo valor es demasiado incierto, la calculadora de riesgo FAIR estima la ALE a partir de rangos de frecuencia y de magnitud de pérdida, y cómo calcular la expectativa de pérdida anual explica cómo elegir los datos.
Calcula la ALE para tus propios escenarios con la calculadora de ALE → y estima la parte de la SLE con la calculadora de coste de brechas.
Preguntas frecuentes
¿Cuáles son los dos tipos principales de análisis de riesgos? Los dos enfoques principales son el análisis de riesgos cualitativo, que ordena los riesgos por severidad relativa (por ejemplo, alto/medio/bajo), y el análisis de riesgos cuantitativo, que asigna valores en dólares. La ALE es un método cuantitativo; muchos equipos usan ambos: el cualitativo para triar y el cuantitativo para justificar el gasto en los riesgos principales.
¿Cómo se calcula la SLE (Single Loss Expectancy)? SLE = valor del activo × factor de exposición (EF), donde el factor de exposición es la fracción del valor del activo que se pierde en un solo evento. La SLE se multiplica después por el Annualized Rate of Occurrence (ARO) para obtener la ALE.
¿Qué es la ALE? La pérdida monetaria esperada de un riesgo a lo largo de un año, una métrica cuantitativa de riesgo básica.
¿Cuál es la fórmula? ALE = SLE × ARO, y SLE = valor del activo × factor de exposición.
¿Un ejemplo? Un activo de 500.000 USD × 0,4 de exposición = 200.000 USD de SLE; × 0,2 de ARO = 40.000 USD/año de ALE.
¿Limitaciones? Los datos son estimaciones (sobre todo el ARO) y subestima el riesgo de cola; combínala con análisis de escenarios.
Preguntas frecuentes
¿Cuáles son los dos tipos principales de análisis de riesgos?
Los dos enfoques principales son el análisis de riesgos cualitativo, que ordena los riesgos por severidad relativa (por ejemplo, alto/medio/bajo), y el análisis de riesgos cuantitativo, que asigna valores en dólares. La ALE es un método cuantitativo; muchos equipos usan ambos: el cualitativo para triar y el cuantitativo para justificar el gasto en los riesgos principales.
¿Cómo se calcula la SLE (Single Loss Expectancy)?
SLE = valor del activo × factor de exposición (EF), donde el factor de exposición es la fracción del valor del activo que se pierde en un solo evento. La SLE se multiplica después por el Annualized Rate of Occurrence (ARO) para obtener la ALE.
¿Cómo se calcula la ALE (expectativa de pérdida anual) en ciberseguridad?
Usa ALE = SLE × ARO. Primero calcula la Single Loss Expectancy (SLE), el coste de un solo evento, como valor del activo × factor de exposición (la fracción del activo que se pierde en un evento). Luego multiplícala por el Annualized Rate of Occurrence (ARO), cuántas veces al año lo esperas. Ejemplo resuelto: una base de datos de 500.000 USD con un factor de exposición de 0,4 da SLE = 200.000 USD; si se espera una brecha una vez cada cinco años, ARO = 0,2, así que ALE = 200.000 USD × 0,2 = 40.000 USD al año. Compara esa cifra anual con el coste anual de un control para decidir si vale la pena.
¿Qué es la expectativa de pérdida anual (ALE)?
La ALE es la pérdida monetaria esperada de un riesgo concreto a lo largo de un año. Es una métrica central del análisis de riesgos cuantitativo, calculada como la Single Loss Expectancy (el coste de un solo evento) multiplicada por el Annualized Rate of Occurrence (cuántas veces al año se espera el evento). La ALE convierte un riesgo en una cifra anual en dólares que puedes comparar con el coste de mitigarlo.
¿Cuál es la fórmula de la ALE?
ALE = SLE × ARO, donde la SLE (Single Loss Expectancy) es el coste de un solo evento y el ARO (Annualized Rate of Occurrence) es el número esperado de eventos por año. La SLE se calcula, a su vez, como valor del activo × factor de exposición, donde el factor de exposición es el porcentaje del activo que se pierde en un solo evento. Así que la expansión completa es ALE = (valor del activo × factor de exposición) × ARO.
¿Puedes dar un ejemplo de ALE?
Supón que una base de datos de clientes está valorada en 500.000 USD, que una brecha comprometería el 40 % de su valor (factor de exposición 0,4), así que SLE = 500.000 USD × 0,4 = 200.000 USD. Si esperas una brecha así una vez cada cinco años, el ARO es 0,2. Entonces ALE = 200.000 USD × 0,2 = 40.000 USD al año. Un control que reduzca la probabilidad o el impacto de esa brecha merece considerarse si cuesta menos que la reducción de ALE que aporta.
¿Cuáles son las limitaciones de la ALE?
La ALE es tan buena como sus datos, y tanto la SLE como el ARO son estimaciones, sobre todo el ARO, ya que los eventos raros y de alto impacto son difíciles de valorar con precisión. La ALE también promedia la varianza, así que subestima el riesgo de cola (una pérdida catastrófica de una vez cada 20 años parece pequeña anualizada). Úsala como una forma estructurada de comparar riesgos y justificar controles, no como una predicción precisa; combínala con análisis de escenarios para los eventos de baja probabilidad y alto impacto.