□ 风险评估所需资源最少，简便易实施。

□ 如果一个组织的多个部门或者多个信息安全管理体系的业务环境和信息安全要求是相似的、可比的，通过基本的风险评估来选择控制目标和控制方式可能获得非常经济的效果。