当规划信息安全管理体系时,组织应考虑相关要求,确定需要应对的风险和机会,以( )。