信息安全风险评估报告应当包括哪些？

A.评估范围

B.评估依据

C.评估结论和整改建议

D.以上全部(正确答案)