确定应用系统中建立多少控制措施的标准不应包含以下哪项（）

• A、威胁发生的可能性
• B、缺乏控制，可能会造成的影响
• C、实施和维护控制所需的成本
• D、首先要保证系统的安全，其次再考虑可用、效率等问题。