一般来讲，组织的信息安全需求主要来自法律法规和合同条约的要求，组织的原则、目标 和规定，以及风险评估的结果。