Уровень защиты информации определяется:

Собственником (владельцем) информации.
Грифом секретности или конфиденциальности.
Нормативными актами законодательства Российской Федерации.
Степенью тяжести ущерба, наносимого в случае разглашения защищаемой информации.

К сожалению, у нас пока нет статистики ответов на данный вопрос, но мы работаем над этим.