信息安全风险管理应该基于可接受的成本采取相应的方法和措施。