并非所有信息安全事故都需要由独立第三方进行评估，通常由内部相关部门根据事故等级决定是否需要外部评估。因此，选项C不正确。