组织应定义并应用信息安全风险处置过程，以制定正式的信息安全风险处置计划