リスク評価プロセスの最初のステップとして最も適切なものはどれか。

情報セキュリティ戦略が企業の目的と一致していることを確認するための指標はどれか。