ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。

a　あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。
b　保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。
c　リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。