本题考查CIA三要素模型的局限性认知。
选项A错误，CIA模型虽然是信息安全的基础框架，但存在局限性，不能作为唯一依据。
选项B正确，CIA模型重心在信息层面，但信息系统安全的复杂性决定了还需要考虑人员安全、物理安全、业务连续性等其他重要因素。
选项C错误，CIA模型主要针对信息安全三个核心属性，而非物理安全。
选项D错误，CIA模型可以作为规划和实施安全策略的基本原则，不仅限于风险评估。