在《信息安全风险评估规范》中，以下有关脆弱性或威胁的说法是正确的（）

A.脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害
B．脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身也会对资产造成损害
C．威胁是资产本身存在的
D．脆弱性不是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身也会对资产造成损害