关于信息安全风险评估，以下说法正确的是：（）。