选择信息安全控制措施应该（）。

A.建立在风险评估的结果至上

B.针对每一种风险，控制措施并非唯一

C.反映组织风险管理战略

D.以上各项都对