基于保护动机理论的阿曼医护人员信息安全行为研究：威胁评估与应对效能的关键作用

《Scientific Reports》：Information security behavior of healthcare professionals in the Sultanate of Oman based on the PMT model

本研究针对阿曼卫生部医院医护人员信息安全行为开展实证研究，基于保护动机理论(PMT)框架，探讨威胁评估（感知严重性、感知脆弱性）和应对评估（反应效能、自我效能）对信息安全行为的影响机制。研究发现感知严重性(β=0.61)和反应效能(β=0.57)是影响医护人员安全行为的最主要因素，而适应不良奖励未显示显著影响。研究为医疗机构的网络安全培训和政策制定提供了理论依据，强调通过提升威胁认知和应对效能来强化信息安全文化。

　　

在数字化医疗时代，电子健康记录(EHR)和医疗物联网(IoMT)设备的广泛应用极大地提升了医疗服务的效率，但同时也带来了严峻的信息安全挑战。据统计，全球医疗机构平均每周遭受约1,463次网络攻击，勒索软件和网络钓鱼等威胁可能导致严重的经济损失、医疗服务中断以及患者隐私泄露。特别是在COVID-19大流行之后，医疗行业的脆弱性进一步凸显，而网络安全投入的不足使得问题更加复杂。在这一背景下，医护人员的信息安全行为成为保护敏感患者数据和维护医疗系统完整性的关键因素。

阿曼苏丹国的医疗系统正经历快速的数字化转型，但网络安全措施未能同步跟进，存在显著的安全隐患。尽管技术防护手段不断升级，但人为因素仍然是信息安全链中最薄弱的环节。因此，理解并改善医护人员的信息安全行为，对于降低医疗数据泄露风险具有重要意义。

本研究采用保护动机理论(Protection Motivation Theory, PMT)作为理论框架，探讨阿曼卫生部医院医护人员的信息安全行为。PMT是一个解释个体应对威胁行为的心理学理论，包含威胁评估和应对评估两个核心过程。威胁评估涉及个体对威胁严重性(perceived severity)和自身脆弱性(perceived vulnerability)的认知，以及不从安全行为中获得的适应不良奖励(maladaptive rewards)；应对评估则包括对防护措施有效性(response efficacy)的信念、执行这些措施的自信(self-efficacy)，以及实施成本(response costs)的考量。

研究采用横断面调查设计，通过结构化问卷收集数据。问卷基于前人研究设计，包含37个条目，涵盖人口学信息、PMT构念和信息安全行为三个部分。研究样本来自阿曼11个省的卫生部医院，采用整群随机抽样方法，最终纳入445名医护人员（医生114人，护士331人）。数据分析采用描述性统计和推断统计方法，包括因子分析、可靠性分析以及多元线性回归分析。

感知脆弱性对信息安全行为的影响

研究发现感知脆弱性对医护人员的信息安全行为有显著正向影响(B=0.34, β=0.32, p<0.001)，支持了假设H1。这表明当医护人员认为自身容易受到信息安全威胁时，他们更可能采取安全行为。该模型解释了信息安全行为11%的方差。

感知严重性对信息安全行为的影响

感知严重性显示出与信息安全行为最强的正相关关系(B=0.64, β=0.61, p<0.001)，支持了假设H2。这一发现表明，当医护人员认识到信息安全漏洞可能带来的严重后果时，他们会更加重视安全实践。该模型解释了37%的方差，是六个变量中解释力最强的。

适应不良奖励对信息安全行为的影响

与假设H3相反，适应不良奖励对信息安全行为没有显著影响(B=0.03, β=0.03, p=0.496)。这一意外结果可能归因于阿曼卫生部医院强大的组织文化和有效的培训计划，减少了不遵守安全规程的短期吸引力。

反应效能对信息安全行为的影响

反应效能显示出对信息安全行为的显著正向影响(B=0.58, β=0.57, p<0.001)，支持了假设H4。这表明当医护人员相信安全措施确实有效时，他们更愿意遵守安全协议。该模型解释了33%的方差。

自我效能对信息安全行为的影响

自我效能对信息安全行为有显著正向影响(B=0.53, β=0.45, p<0.001)，支持了假设H5。这一发现强调了个体对自己执行安全措施能力的信心在促进行为改变中的重要性。该模型解释了20%的方差。

反应成本对信息安全行为的影响

与假设H6的预期相反，反应成本对信息安全行为有显著正向影响(B=0.19, β=0.18, p<0.001)。这一反直觉的结果表明，在特定组织环境下，较高的执行成本可能反而增强医护人员对安全程序的重视和遵守。

研究结论强调，保护动机理论为理解和预测医护人员信息安全行为提供了有效的理论框架。感知严重性和反应效能是影响医护人员安全行为的最重要因素，这表明在制定安全干预措施时，应重点强调安全威胁的严重后果和防护措施的有效性。适应不良奖励的不显著影响反映了组织文化和培训在削弱不安全行为短期吸引力方面的成功。而反应成本的正向影响则提示我们，在某些情况下，适当的安全程序严格性可能增强遵守意愿。

本研究对医疗机构的信息安全实践具有重要启示。对于政策制定者，研究结果支持基于PMT设计更有效的安全意识计划，通过提升医护人员对威胁严重性和防护措施有效性的认知来激励安全行为。对于医疗机构管理者，研究强调了创建支持性安全文化的重要性，包括提供适当培训、简化安全流程以及通过正面反馈促进安全实践。更重要的是，研究指出网络安全不应仅依赖技术解决方案，而应采取更加人性化的方法，关注影响医护人员行为的内在心理机制。

该研究理论上扩展了PMT在医疗背景下的应用，特别是在海湾地区，并展示了诸如反应成本等因素可能发挥的意外作用，强调了未来需要进行更多情境敏感的研究。实践上，研究为阿曼医疗部门提供了具体建议，以增强信息安全行为，更好地保护敏感患者数据和医疗系统完整性。

本研究发表在《Scientific Reports》期刊，为医疗行业信息安全研究提供了重要的理论和实践贡献，特别是在中东地区的实证研究相对缺乏的背景下。研究结果不仅适用于阿曼的医疗环境，也对其他经历类似数字化转型过程的医疗系统具有参考价值。