风险识别是发现、列举和描述风险要素的过程。

起不到应有作用的或没有正确实施的安全保护措施本身就可能是脆弱性。

判断题起不到应有作用的或没有正确实施的安全保护措施本身就可能是脆弱性。

风险评价准则需体现组织的风险承受度，应反映组织的价值观、目标和资源。

判断题风险评价准则需体现组织的风险承受度，应反映组织的价值观、目标和资源。

信息资产的价值可通过定性和定量的方法来描述。

判断题信息资产的价值可通过定性和定量的方法来描述。