SARSA模型包括（），它是一个（），它在第一层从安全的角度定义了（）。模型的每一层在抽象方面逐层减少，细节逐层增加，因此，它的层级都是建在其他层之上的，从策略逐渐到技术和解决方案的（）。其思路上创新提出了一个包括战略、概念、设计、实施、度量和审计层次的（）

A.组织应该根据风险建立响应的保护要求，通过构架防护措施降低风险对组织产生的影响
B.加强防护措施，降低风险
C.减少威胁和脆弱点降低风险
D.减少资产降低风险

A.威胁建模主要流程包括四步：确定建模对象、识别威胁、评估威胁和消减威胁
B.评估威胁是对威胁进行分析，评估被利用和攻击发生的概率，了解被攻击后资产的受损后果，并计算风险
C.消减威胁是根据威胁的评估结果，确定是否要消除该威胁以及消减的技术措施，可以通过重新设计直接消除威胁，或设计采用技术手段来消减威胁。
D.识别威胁是发现组件或进程存在的威胁，它可能是恶意的，威胁就是漏洞。

A.残余风险是采取了安全措施后，仍然可能存在的风险，一般来说，是在综合考虑了安全成本与效益后不去控制的风险
B.残余风险应受到密切监理，它会随着时间的推移而发生变化，可能会在将来诱发新的安全事件
C.实施风险处理时，应将残余风险清单告知信息系统所在组织的高管，使其了解残余风险的存在和可能造成的后果
D.信息安全风险处理的主要准则是尽可能降低和控制信息安全风险，以最小的残余风险值作为风险管理效果评估指标