评估IT风险被很好的达到，可以通过：（）

A.评估IT资产和IT项目总共的威胁

B.用公司的以前的真的损失经验来决定现在的弱点和威胁

C.审查可比较的组织出版的损失数据

D.一句审计拔高审查IT控制弱点