ISO/IEC 27001 建议使用定量和定性相结合的混合风险评估方法，以全面识别和管理信息安全风险。