在信息系统安全中，风险由以下哪两种因素共同构成的？