以下对信息安全风险评估描述不正确的是()。