风险分析通常基于资产清单、威胁清单和脆弱性清单，安全策略文档属于风险处置的依据，而不是风险分析的直接输入。