組織のセキュリティポリシーを策定する際に、リスク分析の結果に基づいて対策の優先順位を決定する手法として最も適切なものはどれか。