基于社會認知理論的智能手機用戶信息安全行為意愿研究

張曉娟　李貞貞

[摘要][目的/意義]對智能手機用戶信息安全行為意愿進行研究，可以幫助相關的政府或組織更好地提供針對性的信息安全教育和培訓。[過程/方法]本文基于社會認知理論，建立智能手機用戶信息安全行為意愿影響因素的概念模型，通過調查問卷收集數據并利用結構方程模型進行驗證。[結果/結論]研究發現：感知威脅、反應效能、控制傾向和描述性規范對智能手機用戶的信息安全行為意愿具有顯著的正向影響，自我效能對行為意愿的影響不顯著；作為社會環境的因素之一，描述性規范對感知威脅、反應效能、自我效能和控制傾向均有顯著的影響。

[關鍵詞]智能手機用戶；社會認知理論；信息安全行為意愿

隨著移動互聯網的應用與發展，智能手機用戶數量增長迅速并日益引起學術界的重視。根據艾媒網發布的數據，截至2016年3月，我國智能手機用戶規模達6.24億。智能手機強大的功能在給用戶帶來便利時，也帶來了信息安全問題。一方面，智能手機成為存儲用戶信息最多的移動設備；另一方面，這些信息會通過多種渠道被泄露或竊取。已有研究表明，作為智能手機的擁有者，用戶不恰當的行為導致智能手機中的信息泄露事件層出不窮。探討智能手機用戶信息安全行為意愿的影響因素，有助于政府或相關組織采取有效措施促進智能手機用戶產生信息安全行為意愿，提高用戶自身防范作用。

現有文獻大多側重于智能手機用戶信息安全行為的現狀，對其信息安全行為影響因素的研究鮮有涉及。盡管Esmaeili基于計劃行為理論探討了高校學生智能手機用戶群體的信息安全行為意向，得出態度、主觀規范和感知行為控制等因素是影響用戶信息安全行為意愿的主要因素，但并未就社會環境因素對用戶信息安全行為意愿的影響做進一步研究；Uffen等學者基于人格特質理論分析了影響智能手機用戶信息安全行為意愿的主要因素，但只是從人格特質通過用戶認知間接影響信息安全行為意愿，未能揭示人格特質對信息安全行為意愿的直接作用嘲。此外，這些研究主要以計劃行為理論、技術接受模型為基礎，缺少以社會認知理論為視角的研究。

文獻表明，Bandura的社會認知理論模型能夠較好地揭示用戶信息安全行為意愿。而該模型在不同領域得到了驗證，比如網絡安全、組織信息安全遵從、知識共享等。此外，當用戶決定是否采取信息安全行為時，對社會環境的感知將影響用戶的認知，進而影響其行為意愿。而現有文獻較少關注智能手機情境下社會環境對用戶信息安全行為意愿的影響，尤其是用戶對描述性規范（大眾行為）的感知。再者，有學者指出，用戶對控制信息安全威脅的責任歸因將影響其信息安全行為意愿。

因此，本文在社會認知理論的基礎上，結合保護動機理論的認知過程，分析認知因素、控制傾向和描述性規范對智能手機用戶信息安全行為意愿的影響，并探討描述性規范對用戶認知的作用。通過本文的研究揭示智能手機情境下用戶信息安全行為意愿的影響因素，為政府或相關組織提供信息安全教育和培訓提供一定的借鑒。

1理論基礎

1.1社會認知理論

社會認知理論（Social Cognitive Theory）是在社會學習理論基礎上發展起來的。它認為人們的行為受到個人認知和社會環境的共同影響，并且社會環境也會影響個人認知。三者之間的相互作用模型見圖1。自我效能是社會認知理論中提出的一個核心概念。它是指個人對其行為能力的一種認知，是對自己有能力完成特定行為的一種自信程度，它對信息安全行為意愿具有重要影響。相關研究表明，自我效能是影響用戶信息安全行為的關鍵因素。

與此同時，社會認知理論認為，相同情境下其他用戶的行為構成了人們所處社會環境的一部分，會影響到他的行為。此外，Workman和Infinedo等學者的研究還發現，具有內控傾向人格特質的人們更有意愿采取信息安全行為。控制傾向是一種人格特質，是指人們認為自己能夠對事情進行掌控的程度和承擔責任的傾向。當人們認為他們有能力控制事情的影響程度時，則會對自己的行為負責。相反，當人們感知事情超出了他們的控制范圍時，則會將責任轉移給他人。

1.2保護動機理論

保護動機理論認為信息源影響個體的認知過程，進而影響應對模式。它認為認知過程的核心是威脅評估和應對評估。用戶是否產生保護行為動機取決于認知過程中威脅評估（感知易感性、感知嚴重性）和應對評估（反應效能、自我效能）的結果。當面對威脅時，個體首先會評估這項威脅的易感性和嚴重性，然后再評估個人能夠采用的應對措施，根據最終的評估結果形成行為決策。其中，感知易感性是指個體認為自己經歷某種消極后果的可能性的判斷；感知嚴重性是指消極后果給自己造成的危害程度；反應效能是指個體認為某一行為能夠有效避免威脅的程度；自我效能是指個體對自己采取保護行為能力的認知。此外，有學者將感知威脅作為單獨變量引入保護動機理論模型中，認為感知易感性和感知嚴重性通過感知威脅這一中介變量作用于保護行為動機。許多學者已證明保護動機理論在研究各種用戶行為方面的重要作用。

2研究模型與假設

在社會認知理論的基礎上，結合保護動機理論的認知過程并引入了控制傾向和描述性規范兩個變量，建立了如圖2所示的智能手機用戶信息安全行為意愿的概念模型。

2.1感知易感性、感知嚴重性與感知威脅

保護動機理論認為，感知易感性和感知嚴重性是認知過程中威脅評估的兩個關鍵因素，對行為動機均有直接影響。其中，感知易感性指個人認為自己經歷某種消極現象的可能性；感知嚴重性指個人認為某種消極現象給自己造成危害程度的判斷。Workman等的研究顯示，人們對易感性和嚴重性的認知，與人們是否有意愿采取信息安全行為有關。

與此同時，國外學者Liang等認為，應該將感知威脅作為變量引入保護動機理論模型中。如果用戶感知到信息安全威脅發生的可能性很高，但是不認為會給自己造成嚴重的危害；或者認為信息安全威脅的影響嚴重，但是發生在自己身上的可能性很小，那么他都可能不會產生信息安全行為意愿。只有當人們同時感知到信息安全威脅的嚴重性和易感性時，才可能產生信息安全行為意愿。因此，感知易感性和感知嚴重性是通過感知威脅這一中介變量間接作用于信息安全行為意愿。因此，本文假設：endprint

H1：感知易感性正向影響感知威脅。

H2：感知嚴重性正向影響感知威脅。

H3：感知威脅正向影響智能手機用戶的信息安全行為意愿。

2.2反應效能

反應效能是指人們對采取的行為措施是否起作用的認知。也就是說，如果人們認為自己可以從某一行為中獲益，那么他們可能會采取這種行動。比如，安裝殺毒軟件可以及早發現信息安全風險。個體越相信某一行為措施是有利于信息安全的，就越傾向采取這種行為。Johnston和Warkentin發現反應效能正向作用于信息安全行為意愿㈣。Yoon等的研究發現，反應效能和信息安全行為意愿具有直接的正相關關系。智能手機情境下，如果用戶認為采取信息安全措施可以有效保護信息安全，那么更有可能產生積極的行為意愿。由此假設：

H4：反應效能正向影響智能手機用戶的信息安全行為意愿。

2.3自我效能

自我效能指個體對自己從事某一行為能力的認知，即個體在采取某一行為措施時對自己行為能力的判斷。自我效能是保護動機理論和社會認知理論的核心部分。大量研究表明，自我效能對信息安全行為意愿有很大的影響。Workman等指出，在使用互聯網時，自我效能感高的用戶更傾向于采納信息安全行為。Esameili針對智能手機用戶的研究發現，自我效能會影響感知行為控制，并對信息安全行為意愿產生間接的影響。Johnston等的研究也確認了自我效能對用戶信息安全行為意愿的積極影響。由此假設：

H5：自我效能正向影響智能手機用戶的信息安全行為意愿。

2.4控制傾向

控制傾向是一種人格特質，衡量人們掌控自己命運的程度。控制傾向分為內部控制傾向和外部控制傾向。內控者認為自己能夠對事情進行控制，外控者則將結果歸因為外界環境因素，認為涉及自己相關的事情，個人無須負責或不需承擔太多責任。因此，那些認為他們能對事情進行控制的個體更傾向于承擔責任。在采取信息系統預防措施的情況下，有證據表明，具有較高內控意識的人在承擔信息安全防范措施方面會更加的積極主動，比如安裝和更新安全軟件、定期更改密碼、使用防火墻和備份系統。Workman等的研究發現，控制傾向與信息系統安全行為積極相關。Infinedo的研究表明，控制傾向與信息系統安全政策遵從行為意圖顯著相關。因此，智能手機用戶的控制傾向對他們的信息安全行為意向可能會有顯著的影響。由此假設：

H6：控制傾向顯著影響智能手機用戶的信息安全行為意愿。

2.5描述性規范

描述性規范被定義為個體相信其他人表現出理想行為的程度。也就是說，個體關注他人的行為傾向，并可能復制他人的行為。已有研究表明，個體行為受到同伴行為或者大眾行為的影響。人們經常表現某些特定行為，是因為他相信同樣情境下很多其他人表現出了同樣的行為。Rivis的研究證明，描述性規范是社會環境下各種行為現象的重要預測因子。Herath等的研究表明，描述性規范會影響組織中員工遵從安全政策的意向。Anderson和Agarwal的研究也表明，描述性規范積極影響互聯網用戶的安全行為意愿。在智能手機情境下，如果一個智能手機用戶認為其他用戶為了解決信息安全問題采取了系列信息安全行為，他更有可能跟隨他們產生積極的信息安全行為意愿。由此假設：

H7：描述性規范正向影響智能手機用戶的信息安全行為意愿。

H8：描述性規范正向影響智能手機用戶的感知威脅。

H9：描述性規范正向影響智能手機用戶的反應效能。

H10：描述性規范正向影響智能手機用戶的自我效能。

H11：描述性規范正向影響智能手機用戶的控制傾向。

3研究方法

3.1測量指標

問卷中的測量題項均來源于國外已有的文獻，并根據智能手機的特點對量表進行修改，最終形成本文的調查問卷。問卷包含8個測量指標，每個指標設置了2-3個測問項，并采用李克特7級量表形式，1表示非常不同意，7表示非常同意，各測量題項見表1。

3.2數據收集

借助問卷星在線調查網站制作問卷，并通過QQ、微信發送填寫邀請，最終回收問卷319份。刪除填寫時間過短或者選擇單一選項的問卷74份，得到有效問卷247份。樣本的人口統計特征如表2。從性別上看，女性和男性比例接近，分別為46，2%和53.8%；從年齡上看，26-35歲的用戶比例最高，為50.6%，其次是18-24歲；從學歷上看，大專及以上學歷者達到93.4%，表明調查對象普遍具有較高的學歷；從職業來看，調查對象涵蓋比較廣泛，企業員工的數量達到49.8%，學生的數量為23.5%。

4數據分析

4.1信效度檢驗

本文利用Cronbach's a系數和組合信度CR來檢驗問卷的信度。一般認為，當Cronbach's a和CR值大于0.7時，表示問卷具有較好的信度。從表3可以看出，本文各測量題項的a系數均在0.715-0.895之間，說明測量題項問卷通過信度檢驗。

聚合效度、區分效度是衡量量表效度的重要方面。聚合效度主要通過因子載荷量和平均抽取方差（AVE）來檢驗，當因子載荷大于0.7且AVE大于0.5時，表明測量題項具有較好的聚合效度。區分效度通過計算AVE來檢驗，當所有潛變量的AVE平方根大于0.7，并且潛變量AVE的平方根超過對應變量之間的相關系數，表明問卷具有較好的區分效度。表3和表4顯示測量問卷通過了效度檢驗。

4.2假設檢驗結果

運用結構方程模型分析軟件SmartPLS2.0來驗證各影響因素對智能手機用戶信息安全行為意愿的顯著作用，模型中的路徑系數如圖3所示。結果表明，除自我效能對智能手機用戶的信息安全行為意愿的影響不顯著之外，其余因素的影響作用顯著。其中，感知威脅、反應效能、控制傾向和描述性規范均直接影響用戶信息安全行為意愿；感知易感性和感知嚴重性同時影響感知威脅；描述性規范除了直接作用于信息安全行為意愿，還通過影響用戶的認知（感知威脅、反應效能、自我效能、控制傾向）并間接影響信息安全行為意愿。endprint

5分析和討論

在本文構建的智能手機用戶信息安全行為意愿模型中，感知易感性和感知嚴重性通過感知威脅的中介作用影響用戶信息安全行為意愿。說明，如果智能手機用戶感知易感性和感知嚴重性的程度越高，對信息安全威脅的感知越強烈，越有動機采取信息安全行為。反應效能對用戶信息安全行為意愿具有正向顯著影響，說明用戶對采取的信息安全行為是否起作用的認知會影響其信息安全行為意愿。

智能手機用戶的自我效能感對其信息安全行為意愿不存在顯著影響。這與保護動機理論及社會認知理論的假設不一致。可能原因在于，對于絕大多數智能手機用戶而言，采取信息安全行為是相當容易的事情，但是他們并不認為自身的信息安全行為能夠有效防范信息安全威脅。此外，其他變量可能中和了自我效能對用戶信息安全行為意愿的影響。

本文引入了控制傾向變量，分析了控制傾向對用戶信息安全行為意愿的作用，通過實證驗證了控制傾向對用戶信息安全行為意愿具有正向調節作用。由此說明，具有較高內控傾向的用戶在使用智能手機時更傾向于對自己的信息安全負責，更可能產生信息安全行為意愿。

引入的描述性規范變量對智能手機用戶認知和行為的顯著性影響均得到了證實。描述性規范對用戶信息安全行為意愿的影響顯著，說明用戶傾向于與大多數人的行為保持一致，類似于從眾效應。同時，作為社會環境因素，描述性規范對感知威脅、反應效能、自我效能和控制傾向均具有顯著的作用。說明描述性規范影響智能手機用戶對信息安全威脅和應對能力的認知。

為了提高智能手機用戶信息安全行為意愿，需要政府、企業等信息安全鏈中的各方努力。首先，政府有必要向智能手機用戶傳達智能手機信息安全威脅的現狀，包括信息威脅的嚴重性和易感性。其次，通過信息安全教育和培訓向智能手機用戶傳達人為因素對信息安全的重要性，使人們意識到個人恰當的行為有利于保障信息安全。再者，有必要使用戶意識到已有的各種信息安全防范措施的有效性，鼓勵用戶主動采取信息安全行為并養成良好的使用習慣。此外，重視信息安全文化的宣傳推廣，在整個社會中形成一種良好的信息安全文化氛圍，通過大眾行為效應引導智能手機用戶的信息安全行為。

6結語

基于社會認知理論，探討了用戶對信息安全威脅和應對能力的認知、控制傾向和描述性規范與對智能手機用戶信息安全行為意愿的影響。本研究將感知威脅作為變量引入模型中，感知威脅分成感知易感性和感知嚴重性兩個維度，結果表明感知易感性和感知嚴重性通過感知威脅對用戶信息安全行為意愿產生間接作用；反應效能和控制源均是用戶信息安全行為意愿的影響因素，自我效能的影響不顯著。此外，研究發現，描述性規范除了直接影響用戶信息安全行為意愿外，還會對用戶關于信息安全威脅和應對能力的認知產生顯著影響。

本文的研究也存在一定的局限性。首先，本文主要從用戶自身感知視角收集數據，填寫的問卷存在一定的主觀性，不能準確反映出其行為意愿。其次，僅考慮了描述性規范這一社會環境因素，未考慮主觀規范等其他社會環境的影響。endprint