信息科技风险管理遵循“自评估为主、第三方评估为辅”原则。