信息系统安全问题层出不穷的根源在于()。

解析这道选择题，我们首先要明确题目询问的是信息系统安全问题层出不穷的根源。接下来，我们逐一分析各个选项，并探讨为何选择C和D作为正确答案。

A. 病毒总是出现新的变种：
这个选项虽然指出了病毒的一个特性，即病毒会不断变种以逃避检测和防御，但它并没有直接解释为何信息系统安全问题会层出不穷。病毒的变种是安全问题的一个方面，但不是根源。安全问题的根源更多地与系统本身的特性和外部环境的变化有关。因此，A选项不是最佳答案。

B. 风险评估总是不能发现全部的问题：
风险评估是识别和评估潜在安全威胁的一种方法，但它不是安全问题层出不穷的根源。即使风险评估不能发现全部问题，这也不意味着问题是“层出不穷”的根源。相反，这更多地是一个方法论的局限性，而非安全问题的本质原因。因此，B选项也不符合题意。

C. 信息系统的复杂性和变化性：
信息系统的复杂性意味着系统中包含多个组件、接口和交互，这些元素之间的相互作用可能导致难以预料的安全问题。同时，信息系统的变化性（如软件更新、硬件升级、网络结构调整等）也会带来新的安全风险。这种复杂性和变化性是导致安全问题层出不穷的重要根源之一，因为它使得系统难以完全预测和控制所有潜在的安全威胁。因此，C选项是正确的。

D. 威胁来源的多样性和变化性：
威胁来源的多样性（如黑客攻击、内部泄露、自然灾害等）和变化性（新的攻击技术、手段和方法不断涌现）也是导致信息系统安全问题层出不穷的重要原因。这种多样性和变化性使得系统必须不断适应和应对新的威胁，从而增加了安全管理的难度和复杂性。因此，D选项同样是正确的。

综上所述，C和D选项直接指出了信息系统安全问题层出不穷的根源：一方面是信息系统的复杂性和变化性，另一方面是威胁来源的多样性和变化性。这两个因素相互作用，使得信息系统面临持续不断的安全挑战。

因此，正确答案是C和D。