Субъекты информационной безопасности в зависимости от легитимности классифицируются как

субъекты прямого назначения и косвенного
официальные органы и криминальные структуры («крыши»)
специальные субъекты и весь остальной персонал организации
занимающиеся этой деятельностью внутри организации и внешние органы

К сожалению, у нас пока нет статистики ответов на данный вопрос, но мы работаем над этим.