28. 以下何者非 CNS 27001 對「資訊安全風險處理」之要求？ (A)識別、分析及評估資訊安全風險 (B)對所選定資訊安全風險處理選項，決定所有必須實作之控制措施 (C)產生適用性聲明，包括必要之控制措施，且不論是否實作，提供納入之理由，以及由附錄 A 排除之理由 (D)制訂資訊安全風險處理計畫，取得風險擁有者對資訊安全風險處理計畫之核准，以及對剩餘資訊安全風險之接受