以下哪些是需要在信息安全策略中进行描述的（）

A.资产识别的粒度随着评估范围、评估目的的不同而不同，既可以是硬件设备，也可以是业务系统，也可以是组织机构
B.应针对构成信息系统的每个资产做风险评价
C.脆弱性识别是将信息系统安全现状与国家或行业的安全要求做符合性比对而找出的差距项
D.信息系统面临的安全威胁仅包括人为故意威胁、人为非故意威胁

A.风险管理在系统开发之初就应该予以充分考虑，并要贯穿于整个系统开发过程之中
B.风险管理活动应成为系统开发、运行、维护、直至废弃的整个生命周期内的持续性工作
C.由于在系统投入使用后部署和应用风险控制措施针对性会更强，实施成本会相对较低
D.在系统正式运行后，应注重残余风险的管理，以提高快速反应能力

A.立足国情，以我为主，坚持技术与管理并重
B.正确处理安全和发展的关系，以安全保发展，在发展中求安全
C.统筹规划，突出重点，强化基础工作
D.全面提高信息安全防护能力，保护公众利益，维护国家安全