要适时、有效开展风险评估，重要信息系统应至少每年进行一次评估。