L’Annual Loss Expectancy (ALE) est la méthode la plus simple pour quantifier financièrement un risque cyber. Issue de NIST SP 800-30, elle permet de transformer un débat qualitatif (« ce risque est important ») en arbitrage chiffré (« ce risque nous coûte 280 k€/an en espérance »). Voici la méthode pas-à-pas avec un exemple complet et les pièges classiques.
La formule ALE = ARO × SLE
Trois variables. Trois questions à se poser :
- SLE (Single Loss Expectancy) : combien ça coûte une fois ?
- ARO (Annual Rate of Occurrence) : combien de fois par an, en espérance ?
- ALE : leur produit, comparable au coût des mesures.
Calculer le SLE (Single Loss Expectancy)
Le SLE est la perte attendue si l’événement se produit une fois. On le décompose typiquement en 6 catégories de coûts :
| Catégorie de coût | Exemples | Sources d’estimation |
|---|---|---|
| Coûts directs de récupération | Forensic, restauration, intervenants externes | Devis IR, retours ANSSI |
| Perte de chiffre d’affaires | Activité bloquée pendant la crise | Comptabilité, CA/jour ouvré |
| Coûts juridiques et réglementaires | Amendes RGPD, sanctions sectorielles, frais d’avocats | Décisions CNIL publiées |
| Coûts de communication | Crisis comm, notifications clients | Devis agences crisis |
| Perte de clientèle | Churn induit, perte de marchés | Analyse historique post-incident |
| Impact sur valorisation | Cours de bourse, valorisation | Études sectorielles (Cybersecurity Ventures) |
Estimer l’ARO (Annual Rate of Occurrence)
L’ARO est plus subtil. Il peut être > 1 (plusieurs occurrences par an attendues) ou < 1 (une occurrence tous les N années, soit ARO = 1/N).
| Fréquence attendue | ARO | Exemples cyber |
|---|---|---|
| Plusieurs fois par an | 2 – 12 | Tentatives de phishing, scans automatisés |
| Une fois par an | 1 | Incident significatif, perte d’un équipement |
| Tous les 2 à 5 ans | 0,2 – 0,5 | Compromission via tiers, fuite de données |
| Tous les 10 ans | 0,1 | Attaque ciblée étatique, ransomware réussi sur ETI bien défendue |
| Tous les 50+ ans | < 0,02 | Événement catastrophique unique |
Sources pour calibrer l’ARO :
- Statistiques sectorielles (CESIN, CERT-FR Panorama Annuel, ENISA Threat Landscape)
- Historique interne des 5 dernières années
- Peer benchmarking (clubs sectoriels)
- Études (Verizon DBIR, Mandiant M-Trends, IBM Cost of a Data Breach)
Exemple complet : ransomware sur une ETI
Contexte : ETI industrielle, 800 salariés, CA 240 M€, secteur agroalimentaire. Évaluation du risque ransomware avec impact sur SI production.
Calcul du SLE
| Poste de coût | Détail | Montant |
|---|---|---|
| Forensic + intervenants externes | 4 semaines à 28 k€/sem | 112 000 € |
| Restauration SI + reconstruction | Datacenter externalisé + ingénieurs internes (3 mois) | 380 000 € |
| Perte de CA (production arrêtée 14 j) | 240 M€ / 220 j × 14 j × marge 35 % | 5 350 000 € |
| Notification CNIL + frais juridiques | Avocats + amende potentielle | 180 000 € |
| Crisis communication | Agence + plateforme presse | 65 000 € |
| Churn estimé (3 % des clients sur 12 mois) | Marge perdue | 2 100 000 € |
| SLE total | 8 187 000 € |
Calcul de l’ARO
Données contextuelles :
- Secteur agroalimentaire : 18 incidents ransomware significatifs déclarés en France en 2024 (CERT-FR)
- Périmètre comparable (ETI 500-2000 salariés) : ~3 200 entreprises en France
- Probabilité brute annuelle : 18 / 3 200 ≈ 0,56 %, soit ARO ≈ 0,006
- Ajustement défensif : l’ETI a EDR + sauvegardes immuables + MFA partiel → réduction d’environ 60 % de la vraisemblance
- ARO ajusté : 0,006 × 0,4 ≈ 0,0024 (occurrence attendue tous les ~400 ans)
Note : ces taux brut paraissent bas, mais ils correspondent à la réalisation complète du scénario (chiffrement + 14 jours d’arrêt). Les tentatives échouées ou bloquées tôt ne comptent pas dans cet ARO.
Calcul de l’ALE
ALE = 8 187 000 € × 0,0024 ≈ 19 650 € / an
Interprétation : ce risque, sous sa forme la plus sévère, « coûte » à l’organisation environ 20 k€ en espérance annuelle, compte tenu de ses défenses. Si un investissement de 80 k€ (par exemple : MFA universel + segmentation) divise l’ARO par 4, le bénéfice marginal annuel est de 15 k€ — soit un retour sur 5 ans. C’est le genre d’arbitrage que la formule rend visible.
ALE vs FAIR : quand passer à plus sophistiqué
ALE est une approximation. Pour des analyses plus fines, le framework FAIR (Factor Analysis of Information Risk) décompose plus finement :
| Concept FAIR | Correspondance ALE | Apport |
|---|---|---|
| Threat Event Frequency × Vulnerability | ARO | Sépare la fréquence de tentative et la probabilité de succès |
| Primary Loss + Secondary Loss | SLE | Distingue pertes directes et impacts secondaires |
| Monte Carlo simulation | Valeur scalaire | Donne une distribution probabiliste au lieu d’un point |
FAIR est plus rigoureux mais demande un outillage (FAIR-U, RiskLens, OpenFAIR + Excel). Pour démarrer, ALE est suffisant. On bascule sur FAIR quand le COMEX commence à demander des intervalles de confiance.
Les erreurs à éviter
- SLE trop bas : oublier la perte de CA, le churn, les amendes. Le SLE est rarement < 500 k€ pour un incident significatif sur une ETI.
- ARO non sourcé : « ARO = 0,1 » sans justification écrite ne tiendra pas en audit. Toujours sourcer.
- Calcul brut sans contrôles : le bon calcul intègre l’effet des contrôles existants. Sinon on compare des choux et des carottes.
- Confusion ALE et budget : l’ALE n’est pas le budget cyber. C’est le coût attendu si on ne fait rien de plus. Le budget se compare à la réduction d’ALE.
- Précision excessive : présenter un ALE à 5 chiffres significatifs (« 19 647,32 €/an ») décrédibilise. Toujours arrondir.
L’ALE transforme une discussion qualitative sans fin en arbitrage budgétaire en 15 minutes. C’est probablement l’outil GRC le plus rentable pour son coût de mise en œuvre : un tableau Excel partagé suffit pour commencer.
Ce qu’on retient
Commencez par calculer l’ALE pour les 3 scénarios stratégiques les plus impactants de votre analyse EBIOS RM. Présentez-les en fourchette au COMEX. Vous verrez la discussion changer immédiatement de nature.
