21. 某企業完成資訊安全風險評鑑後，發現多項風險，包括系統漏洞、弱密碼問題及資料備份不足。資訊安全團隊依據公司事先建立的風險接受準則，比較各項風險的分析結果，並決定優先處理的項目。上述作法最符合資訊安全風險管理中的下列哪一個步驟？ (A) 建立資訊安全教育訓練制度 (B) 評估風險並決定風險處理順序 (C) 建立資訊安全政策文件 (D) 建立風險評鑑清冊