情報セキュリティ管理基準において、組織の情報資産のリスクを特定、分析、評価するプロセスを何と呼ぶか。

プロジェクトの調達において、購入者が仕様を詳細に定義できず、サプライヤーの専門知識を活用したい場合に適した、機能や性能の達成目標を示した記述書はどれか。