信息安全风险评估 （67） 。

信息安全风险评估应该根据变化了的情况定期或者不定期地适时进行，以便及时发现和解决潜在的安全风险。因此，B选项是正确的。而A选项只实施一次是不够的，因为网络环境和技术在不断变化，风险也会不断变化。C选项说不需要形成文件化评估结果报告是不准确的，因为评估结果应该被记录并存档，以便后续分析和参考。D选项仅仅对网络做定期的扫描是不够的，因为安全风险不仅仅是网络层面的，还包括信息安全管理的各个方面。