JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として，適切なものはどれか。