摘要：已有研究大都致力于开发信息安全意识管理规程或人员管理规程等，以提高信息安全管理的有效性，而缺乏关于用户(或人员)参与如何影响信息安全管理的有效性研究。以信息安全管理体系(ISO/IEC27000标准族)为背景，将信息安全意识与业务流程相结合构建用户参与对信息安全管理有效性影响的多重中介模型，并从中国通过信息安全管理体系认证的497家企业中随机抽取30家，采用邮寄的方式发放300份问卷，运用Bootstrapping方法进行实证分析。研究结果表明，用户参与对信息安全意识、业务流程结合有显著正向作用，且用户参与、信息安全意识与业务流程结合对信息安全管理的有效性均有显著的正向作用，用户参与通过信息安全意识和业务流程结合的中介作用影响信息安全管理的有效性。

　　关键词：用户参与；信息安全；信息安全意识；业务流程结合；

　　作者简介：谢宗晓(1979-)，男，山东日照人，南开大学商学院博士研究生，研究方向：信息安全管理、网络组织与治理等。

　　1引言

　　无论信息安全的关注点从单点转向系统，还是其手段从单纯的技术/管理转向体系，安全体系的核心始终都是用户。因为在所有安全机制中，一方面，用户是机器系统的使用者，也是安全策略的执行者，作为主体方存在；另一方面，用户是安全策略约束的对象，作为客体方存在。

　　用户在信息安全实践中的作用往往被认为是消极的，有些研究认为，在任何系统的安全机制中，人是最薄弱的环节[1-2]。但是，目前不存在完全不需要用户参与就能够智能识别并适应环境变化的安全防护系统，就这点而言，用户参与在现阶段是不可避免的。此外，ISO/IEC27001：2005指出，信息安全的主要目的是确保业务连续性、业务风险最小化、投资回报和商业机遇最大化，也就是说信息安全是基于业务要求的适当安全，过度的安全往往意味着浪费。Spears等[3]的研究表明，用户参与风险评估和控制措施设计过程可以提供足够的业务信息，避免不切实际的安全控制，使实现适当的安全成为可能。因此，用户参与在信息安全实践中是必须和必要的，本研究的目的是探讨用户参与在信息安全管理(informationsecuritymanagement，ISM)有效性中的作用。

　　2相关研究评述

　　2.1用户参与

　　用户参与的研究开始于20世纪60年代[4-5]，目前多集中在信息系统开发领域中，在相当长的一段时间内，用户参与和用户涉入的概念被认为同义。Barki等[4，6]第一次将用户涉入与用户参与的概念分离，认为用户参与是系统开发过程中用户执行的一系列行为或活动，用户涉入是用户对一个系统的重要性以及与个体关联程度认识的主观心理状态。

　　用户参与理论假设用户参与与以系统质量、用户满意度、用户接受度、系统应用等定义的系统成功之间存在关联[5]，其中隐含的含义为，在信息系统开发过程中的用户参与并不是必须的，而在信息安全实践中的用户参与则明显不同，只有部分参与与全员参与的区别，并不存在是否参与的区别。Doll等[7]认为，在强制环境下，用户涉入与用户参与没有区别。由于用户参与在信息安全情境中已经隐含了强制环境的含义，因此本研究也认为用户涉入与用户参与同义。为了研究方便以及与信息系统开发过程形成更好的对应，本研究中的用户参与是指用户在安全策略制定过程中的一系列行为或活动。

　　在信息安全研究领域，绝大多数研究都在关注安全功能的实现，Dhillon等[8]在对文献进行分类梳理后认为，信息安全研究主流必然从关注功能的范式转向基于社会-组织视角的研究；Ashenden[9]反思人在信息安全管理中的作用，认为其中来自人的挑战被忽视了，并建议从管理学和组织行为学的角度研究信息安全管理所面临的困境。之后涌现出的基于社会-组织视角的信息安全相关研究中，人的因素明显成为热点，Johnston等[10]认为恐惧诉求会影响员工遵守安全策略；Bulgurcu等[11]认为员工遵守安全策略受规范信念和自我效能等因素的影响。

　　但是，这些关注员工遵守安全策略的研究与以往的功能范式研究假设前提一样，即用户参与(在信息安全中一般称作人的参与)是作为消极因素出现，这在信息安全风险评估和管理中尤为明显。一般认为人工评估是目前信息系统复杂到无法进行全定量化和全自动化评估时不得不采取的一个补充手段[12-14]，如何去掉信息安全风险评估和管理过程中人的参与也成为其中的重要研究目标之一[15]。

　　在信息安全情境中，专门研究用户参与的文献较少，仅有Spears等[3，16]探讨用户参与在信息安全风险管理中的作用，并得出用户参与对信息安全风险管理有正向作用的结论，但对用户参与在信息安全中的定义未进行深入探讨，直接用信息系统开发中的系统开发替代风险管理。问题在于，在定义信息安全术语的ISO/IEC27000：2009以及类似文献中并没有明确的用户参与的词汇，只有管理者、用户以及全员参与等相关或相似词汇。更重要的是，信息安全的概念比信息系统安全的概念大得多，后者主要围绕信息系统展开，前者则包括与信息有关的所有方面，如信息系统安全、环境安全、通信安全和人员安全等各个方面。

　　2.2信息安全管理有效性

　　什么是成功有效的信息安全管理，目前并没有统一的标准。无论是DeLone等[17]研究中涉及的6个维度的信息系统成功模型，还是He等[18]得到的2组8个因变量，都是关注信息系统的成功应用，其本质是效率或便利性的提高。但是几乎所有的安全控制都增加了系统的操作复杂度，从而降低了效率，或者说，安全性与便利性存在某种程度上的矛盾。信息系统成功和信息安全管理成功指向不同的目标，因此，在信息安全管理情境下不能直接引用已有的信息系统成功模型。

　　已有的信息安全研究中对于有效性的表述各不相同。Chang等[19]在探讨组织文化对安全管理有效性影响时，将有效性表述为安全管理有效性，并用保密性、完整性、可用性和可核查性作为变量来表征；D39;Arcy等[20]在研究员工安全意识对信息系统误用的影响时，将有效性表述为有效的安全对策；Brady[21]在研究影响信息安全法律法规符合性的影响因素时，将有效性表述为安全有效性，并延用了Chang等[19]的研究构念。

　　无论表述为哪个概念，绝大部分的研究在讨论有效性时都是依据安全属性和安全目的进行判断。ISO/IEC27002：2005对信息安全的定义是保持信息的保密性、完整性、可用性，也可包括真实性、可核查性、不可否认性和可靠性等。这个定义本身就包含了信息安全管理的主要目标，也包括了7个最常见的安全属性描述。实际上学术界普遍认可的信息安全的3个核心属性是保密性、完整性和可用性，也称为信息安全金三角或CIA(confidentiality，integrity，availability)框架[22]，而对真实性、可核查性、不可否认性和可靠性的认识则各有不同。为了研究方便，本研究选取3个核心属性表征信息安全管理的有效性。当然，有效的信息安全管理还要考虑更多的因素，如应该遵循成本效益分析的原则[23-24]等。

　　2.3信息安全管理体系

　　信息安全管理体系(informationsecuritymanagementsystem，ISMS)概念最初源于BS7799，它是基于业务风险方法建立、实施、运行、监视、评审、保持和改进信息安全，包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源等内容。信息安全管理体系的支撑标准是ISO/IEC27000标准族，共有60个标准，编号为ISO/IEC27000~ISO/IEC27059，其中最重要的标准ISO/IEC27001：2005和ISO/IEC27002：2005已经被等同为国家标准，即GB/T22080-2008和GB/T22081-2008。

　　本研究以信息安全管理体系为背景研究用户参与在信息安全管理中的作用，选择信息安全管理体系作为研究用户参与的背景主要原因如下。

　　(1)一般认为信息安全管理体系是信息安全管理的一个可接受模型或最佳实践[19，23-25]，而且目前信息安全管理体系应用非常广泛。截至2011年6月，世界范围内已经通过信息安全管理体系注册的组织共有7279家，中国有497家(http：∥)。

　　(2)信息安全管理体系包括可能涉及的所有信息安全管理活动，ISO/IEC27000标准族不但给出建立、实施、运行、监视、评审、保持和改进信息安全的基于业务风险的方法，而且还给出信息安全管理体系的要求、实用规则、审核指南以及相关安全域的具体指南等，仅ISO/IEC27002：2005信息安全管理实用规则就包括11个控制域、39个控制目标、133项控制措施。

　　(3)信息安全管理体系相关标准是鼓励用户参与的，部署过程按照Plan-Do-Check-Act的戴明环，阶段划分明显，而且大部分的部署组织会申请第三方认证，并在中国认证认可协会注册，因此研究者可以非常清晰地判断组织是否部署了信息安全相关措施、是否在信息安全实践中有用户参与行为等。

　　3研究假设和模型构建

　　3.1用户参与对信息安全管理有效性的直接影响

　　Ives等[26]对1959年至1981年的用户参与与信息管理系统成功之间关系的实证研究进行梳理发现，22项研究中有8项表明用户涉入与系统成功正相关；Cavaye[27]对1982年至1992年的研究分析得出的结果基本类似，19项研究中有7项表明用户涉入与系统成功正相关，部分研究是无定论或负相关；He等[18]从464项研究中选择82项实证性研究进行元分析，认为用户参与和信息系统开发的态度和行为与生产率存在不同程度的正相关。

　　虽然信息系统成功和信息安全管理成功指向不同的目标，但两者的开发过程存在极大的相似性。信息安全管理体系的部署过程实际上是一整套安全策略体系的开发过程，可认为是系统开发的一种，信息系统开发的过程包括需求分析、概要设计、详细设计、编码、测试、上线、维护升级等阶段，信息安全管理体系的部署过程包括风险评估、体系设计、文件设计与编写、试运行、持续改进等过程。信息系统开发与信息安全管理体系部署的对应关系见图1。

　　基于此，本研究提出假设。

　　H1用户参与对信息安全管理有效性有显著的正向作用。

　　3.2信息安全意识及其中介作用

　　信息安全良好实践(thestandardofgoodpracticeforinformationsecurity，SoGP)将信息安全意识定义为组织内所有的员工理解信息安全的重要性，清楚组织所适用的安全级别，知悉并履行个人的安全职责。

　　用户参与到建立信息安全管理体系的过程中，并承担各种安全责任，可以加深用户对信息安全的理解。Spears等[3]通过研究认为，用户参与到信息安全风险管理的过程中可以提高组织对信息安全风险和控制措施的重视程度，从而提高用户的信息安全意识。基于此，本研究提出假设。

　　H2用户参与对信息安全意识有显著的正向作用。

　　Kruger等[28]认为，安全控制的应用效果依赖于积极的安全环境，其中每个人都具有较高的信息安全意识，都理解并执行组织内的程序和规程；反之，在消极的安全环境中，安全控制不但得不到有效的应用，甚至会被规避和滥用。按动机分，主要有以下两种情况。

　　(1)故意的。如银行业务系统用户的非法外联，由于不理解信息安全的重要性，不了解后果的严重性，这类用户往往并不知悉组织的信息安全惩戒措施或相关的法律法规，可以归结为信息安全意识薄弱。

　　(2)无意的。如服装设计人员不知悉哪些信息需要保密、哪些信息可以公开，将作废的设计图纸随手扔进垃圾箱，这可能导致信息泄漏，影响信息的保密性。再如，有些用户对主机的安全操作规程不了解，随便重启服务器，这可能导致宕机，并由此影响信息的可用性。

　　这些导致信息安全管理失效的行为或多或少与信息安全意识相关联。

　　基于此，本研究提出假设。

　　H3信息安全意识对信息安全管理有效性有显著的正向作用。

　　H4信息安全意识在用户参与与信息安全管理有效性的关系中起中介作用。

　　3.3业务流程结合及其中介作用

　　系统质量理论认为，用户参与可以使开发者真正了解系统需求，从而提高系统质量[29-31]。在信息安全管理情境中，没有涉及质量这一概念，ISO9000：2005对质量的定义是，一组固有特性满足要求的程度，按照这个定义，信息安全管理的要求是满足组织业务对安全的需要。用户(尤其是业务流程负责人)参与到信息安全管理的建设过程中可以使安全策略开发者了解业务过程，同时也使他们自己更加理解安全策略目的，从而促进安全策略与业务流程进行结合，提高安全策略的质量。Spears等[3]的研究证实用户参与可以使信息安全风险管理更加符合业务情境。基于此，本研究提出假设。

　　H5用户参与对业务流程结合有显著的正向作用。

　　对用户参与信息系统开发与系统使用之间关系的研究表明，只有在可选择应用的环境中进行研究才有意义[17]。但Barki等[4]认为，即使在强制应用环境中，用户还是可以根据自己的判断(如态度和意愿)控制使用的程度，而信息系统的使用程度正是信息系统成功的参数之一。

　　信息安全管理是强制环境，但是在实际应用中安全策略的设计者出于尽职免责的心态，很容易陷入过度安全的状态，而业务流程负责人出于对自身利益的考虑则希望尽量减少安全控制对正常业务的影响，这种矛盾的存在往往会导致安全策略使用程度(被遵循程度)降低，即安全策略未得到有效实施。

　　由安全主管和业务流程人员共同参与设计安全策略是解决这个矛盾的途径之一，这个过程往往是一个博弈的过程，最后一般会使组织的安全策略符合基线标准。只有这种充分考虑了业务要求的安全策略才能得到高“使用程度”，进而提高信息安全管理的有效性。因此，本研究提出假设。

　　H6业务流程结合对信息安全管理有效性有显著的正向作用。

　　H7业务流程结合在用户参与与信息安全管理有效性的关系中起中介作用。

　　综上所述，提出本研究模型，如图2所示。

　　4研究设计

　　4.1样本选择

　　研究者从2011年6月前通过信息安全管理体系认证的497家中国公司随机抽取30家，给每家公司发放10份问卷，以邮寄的方式将问卷发放给被选公司的信息安全负责人，随后以第三方认证机构电话确认的方式，请公司信息安全负责人组织公司相关成员填写问卷，并以邮寄的方式回收问卷。收回256份问卷，剔除问题填写不完整的22份问卷，最终纳入数据分析的问卷共234份，问卷的有效率为78%。填写问卷人员的描述性统计如表1所示，其中男性占60.684%，女性占39.316%，与目前信息安全从业人员性别比例基本相符。

　　4.2变量和测量

　　4.2.1自变量：用户参与

　　用户参与沿用Barki等[6]和Spears等[3]的测量框架，按项目阶段确定关键活动。信息安全管理体系采用PDCA框架模型，阶段划分明确，本研究也采用分阶段罗列关键活动的方法对用户参与程度进行测量，每阶段选取7项关键活动，用户参与其中一项得1分，否则为0，以此类推，每个阶段的用户参与结果最小值为0，最大值为7。

　　用户参与问卷以ISO/IEC27001：2005和谢宗晓等[22，32]描述的信息安全管理体系部署过程中一系列关键活动为基础，选择36项关键活动，其中计划阶段12项、执行阶段12项、检查阶段8项、改进阶段4项，并把检查和改进阶段合并为12项。在信息安全管理体系从业人员中选取22人，采用多选项-多选择量表的方法，限定从业人员分别从36项关键活动中选择7个认为最重要的选项，从业人员分布见表2，选择结果统计见表3。

　　4.2.2中介变量：信息安全意识和业务流程结合

　　无论在萨班斯奥克斯利法案还是在信息安全管理体系的情境下，信息安全意识和业务流程结合的含义基本一致，都是为了提高信息安全管理的有效性。信息安全意识量表和业务流程结合量表修改自Spears等[3]的问卷，该问卷为Likert7点量表，1为非常反对，7为非常支持。

　　4.2.3因变量：信息安全管理有效性

　　采用Chang等[19]设计、Brady[21]沿用并修改的Likert7点量表测量信息安全管理有效性，1为非常反对，7为非常支持。

　　由于信息安全意识、业务流程结合和信息安全管理有效性的测量量表引用自英文文献，为了保证问卷的有效性，研究者将英文翻译成中文，请两名中文专业硕士研究生对问卷的行文进行修改以符合中文习惯，然后请两位信息安全领域的专家比对问卷的中英文内容并审核确认，所有变量及问卷项见表4。

　　4.3构建有效性

　　用户参与、信息安全意识、业务流程结合和信息安全管理有效性4个潜变量的信度(Cronbach39;sα)、均值、标准差、极值和相关系数如表5所示。用户参与、信息安全意识、业务流程结合、信息安全管理有效性的Cronbach39;sα系数分别为0.723、0.802、0.640、0.948，信度较高，在可接受范围内。Mithas等[33]认为，来源于实践、经过长期的实践检验且有权威来源的量表(如国际标准和国家标准)能够保证测量的效度。本研究中问卷的测量符合以上要求，因此能够保证效度。

　　4个潜变量之间的相关系数全部达到显著相关，数据适合多重中介模型检验。

　　5实证结果和分析

　　5.1同源方差分析

　　由于本研究中变量数据均来源于自称式问卷调查，容易导致变量之间的关系不能反映潜在构念之间的真实关系，即共同方法偏差的存在容易导致构念效度的降低，甚至影响研究假设的接受或拒绝，增加犯Ⅰ类错误或Ⅱ类错误的概率[34]。沿用Podsakoff等[35]和周浩等[36]的方法，本研究采取验证性因子分析方法分两步对问卷共同方法偏差进行分析，检验结果如表6所示。

　　采用Harman单因子检验方法对用户参与、信息安全意识、业务流程结合和信息安全管理有效性进行检验，如果方法变异明显存在，验证性因子分析的结果容易析出一个单独因子或者一个公因子解释大部分变异[37]。由表6可知，单因子模型的拟合指标没有达到可以接受的标准，NNFI=0.848，CFI=0.863，RMSEA=0.186。然而Harman单因子检验方法的假设前提存在明显的缺陷，除非存在非常严重的同源偏差问题，否则一个公因子解释大部分变量变异的情况一般不会出现。为进一步探查同源偏差的可能性，本研究采用不可测量潜在方法进行因子检验，比较有共同方法偏差的模型与没有共同方法偏差的模型，如果后者的拟合指数优于前者的拟合指数，表明变量数据不存在共同方法偏差。由表6可知，四因子模型的拟合指数比较好，RMSEA<0.080，CFI>0.900，NNFI>0.900，对四因子模型与其他3个竞争模型的χ2和AIC指标(值越小越好)[38]进行比较，无共同方法偏差的四因子模型明显优于其他3个有共同方法偏差的模型，说明各变量间不存在明显的同源方差，用户参与、信息安全意识、业务流程结合和信息安全管理有效性具有良好的区分效度。

　　5.2结果分析

　　多重中介模型的验证方法有多种，MacKinnon等[39]提到14种验证路径的方法，在所有验证方法中，Preacher等[40]和Sobel[41]都推荐Bootstrapping方法，认为该方法模型参数估计更为稳健，结论也更可靠，更能避免Ⅰ类错误，尤其是进行多重中介研究时。本研究采用Bootstrapping方法，使用Preacher等[40]提供的SPSS宏，使用SPSS18.0验证多重中介模型。按照提出的研究假设，将用户参与设定为自变量，将信息安全意识和业务流程结合设定为中介变量，将信息安全管理有效性设定为因变量，样本数量设置为5000，置信区间设置为95%，对如下方程回归系数的显著性进行检验，结果见表7和表8。

　　其中，c、a1、a2、c39;、b1和b2为回归系数，ε1~ε4为残差。

　　由表7可知，c=0.674(p<0.001)，达到显著水平，表明用户参与程度的不同显著影响信息安全管理有效性的高低，支持H1，同时也为中介效应的检验提供了基础。a1=0.555(p<0.001)，a2=0.421(p<0.001)，表明用户参与对信息安全意识和业务流程结合有显著正向作用，支持H2和H5。b1=0.279(p<0.050)，b2=0.183(p<0.050)，表明信息安全意识和业务流程结合对信息安全管理有效性有显著正向作用，支持H3和H6。

　　整体模型指标中，F=26.508，p=0.000，说明自变量用户参与通过中介变量信息安全意识和业务流程结合对因变量信息安全管理有效性的影响达到显著水平。此外，模型的解释率R2为0.247，表明还有其他变量能够纳入模型，这也是下一步研究的方向。

　　由表8可知，用户参与对信息安全管理有效性总的间接效应为0.155(a1b1)+0.077(a2b2)=0.232，对应的Z检验结果为3.581(p=0.000)，偏差矫正与增进95%bootstrap置信区间为{0.120，0.352}，置信区间不包括零。因此，拒绝总的间接效应为零的虚无假设，表明总的间接效应显著。

　　在多重中介方法中，不但要关注总的间接效应，也要关注单独的中介效应，由表8可知，中介效应值如下。通过信息安全意识：a1b1=0.155(Z=2.569，p<0.050)，偏差矫正与增进95%Bootstrap置信区间为{0.048，0.270}，置信区间不包括零；通过业务流程结合：a2b2=0.077(Z=1.967，p<0.050)，偏差矫正与增进95%Bootstrap置信区间为{0.018，0.162}，置信区间不包括零。由此可见，信息安全意识和业务流程结合的中介效应显著，支持H4和H7。此外，两个中介效应的置信区间有重合的部分，且两者比较检验结果不显著(Z=0.992，p>0.050)，可以认为两个中介变量起到的中介作用没有显著差异，同等重要。

　　本研究概念模型的验证如图3所示。

　　6讨论

　　(1)本研究验证了用户参与在信息安全管理中的正向作用，这对安全机制不能完全脱离人而运转的情况具有非常积极的意义。

　　(2)本研究解释了用户参与如何正向影响信息安全管理有效性。Spears等[3]验证了在萨班斯奥克斯利法案情境下用户参与对控制措施绩效的正向作用，但是并未揭示用户参与如何影响控制措施绩效。本研究通过构造多重中介模型，揭示了用户参与可以有效地提高员工的信息安全意识，促进业务流程结合，使组织的信息安全管理体系更加符合组织的实际安全需求，最终促进信息安全管理有效性。

　　(3)本研究采用多重中介的验证模型，应用Preacher等[40]提供的SPSS宏，多重中介模型可以更清晰地揭示用户参与影响信息安全管理有效性的路径。

　　本研究结论对管理实践具有一定的指导意义，主要体现在标准制定和安全实践两个方面。

　　(1)本研究证实了用户参与的重要性和积极作用，为信息安全相关标准的制定、完善和提高提供了新的视角和依据。

　　(2)大部分组织的安全负责人都会尽量减少人在安全机制中的比重，以减少执行的不确定性，这导致2010年至2011年68%的组织在安全技术方面的投入超过整体安全预算的10%，仅17%的组织在终端用户安全意识教育方面的投入超过整体安全预算的10%，有35%的组织还不足1%；同时，有41.100%的受访组织经历了信息安全事件，攻击源来自内部用户滥用网络或邮件的占24.800%[42]。显然，组织的安全负责人应该将安全预算的分配更多地倾斜到终端用户身上。对信息安全管理体系的咨询和认证人员而言，在咨询和认证的过程中，不应仅关注安全技术的部署和安全制度的设计，也应关注如何鼓励用户参与到所有可能的活动中，并承担更多的责任。

　　7结论

　　本研究通过分析用户参与到信息安全管理体系中的关键活动，探讨用户参与如何影响信息安全管理的有效性。研究结果表明，(1)用户参与可以提高用户的信息安全意识，并促进信息安全与业务流程的结合；(2)信息安全意识和业务流程结合对信息安全管理有效性都有显著的正向作用；(3)信息安全意识和业务流程结合在用户参与对信息安全管理有效性的影响中起中介作用，这揭示了用户参与对信息安全管理有效性影响的路径，同时数据也显示这两个变量的中介作用同等重要，且还存在其他的中介变量。

　　本研究存在一定的局限性。首先，利用3组多选项-多选择量表测量复杂的用户参与行为，这些选项仅能表征参与活动的多少，不能测量用户的参与程度，如用户参与的频率和次数。在后续的研究中可以考虑采取用户参与在信息系统开发研究中的半结构化访谈方法，或以用户自我报告等形式细化用户参与的测量。此外，与信息系统开发成功的影响因素一样，影响信息安全管理有效性的因素也比较复杂，本研究只选取了1个自变量和2个中介变量，后续研究中应该对更多的变量进行探讨，如高层管理支持是否具有调节作用，组织业务类型、规模大小和企业性质等因素与信息安全管理有效性之间的关系。本文来自《中国国家博物馆馆刊》杂志