关于信息安全风险评估以下说法正确的是