情報セキュリティ方針が「利用可能」であるべき対象はどれか。

リスク受容基準（Risk Acceptance Criteria）を定める時期として適切なのはどれか。