在开发新应用系统时，下列哪些项应当首先处理？（）

A.确定敏感数据应当如何由新的应用系统进行处理的风险评估

B.补丁管理策略

C.第三方顾问对源代码所拥有的访问级别

D.确定向最终产品添加安全控制的时机