# Intention ou procrastination ? Une meilleure compréhension des comportements reportés en matière de sécurité de l'information

Yves Barlette, Jean-François Berthevas, Laura Georg Schaffner, Jean-Loup Richet

► To cite this version:

Yves Barlette, Jean-François Berthevas, Laura Georg Schaffner, Jean-Loup Richet. Intention ou pro-crazination ? Une meilleure compréhension des comportements reportés en matière de sécurité de l'information. AIM 2023, Jun 2023, Dijon, France. hal-04866926

HAL Id: hal-04866926

https://hal.science/hal-04866926v1

Submitted on 6 Jan 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution - ShareAlike 4.0 International License
<figure><img src="image_2.png" /></figure>

DIJON 2023

# Intention ou procrastination ? Une meilleure compréhension des comportements reportés en matière de sécurité de l'information

Yves Barlette, Montpellier Business School, France

Jean-François Berthevas, La Rochelle Université, laboratoire Lithoral, France

Laura Georg-Schaffner, EM Strasbourg, France

Jean-Loup Richet, IAE de Paris 1 Panthéon-Sorbonne, France

## Résumé :

Les recherches sur les comportements en sécurité de l'information (SSI) ont principalement porté sur l'intention et l'action. Procrastiner correspond au report de comportements orientés-problème (PFC), tels que le coping actif (mise en place de mesures de SSI). Les employés, même s'ils souhaitent respecter les politiques de SSI, peuvent reporter leurs comportements PFC et s'engager dans des comportements orientés-émotion (EFC), tels que la pensée positive (s'imaginer que tout ira bien). Nous utilisons l'EPPM<fnref n="1" /> pour étudier les impacts de la peur et de l'efficacité perçue sur la procrastination et l'intention, et ceux de la procrastination et de l'intention sur les PFC et EFC. Les résultats d'une enquête auprès de 1210 employés montrent un effet à double tranchant de la peur sur les PFC et EFC. De plus, la procrastination réduit les PFC et favorise les EFC : si elle n'est pas similaire à un refus de se conformer aux politiques de SSI, elle fait partie des comportements inadéquats.

## Mots clés :

EPPM ; procrastination ; comportement de coping ; sécurité de l'information

<footnote n="1">¹ Extended parallel process model</footnote>
Cet article traite du phénomène de la procrastination, qui consiste à : « *Reporter volontairement une action prévue en dépit du fait que l'on s'attend à être moins bien loti à cause de ce report*<fnref n="2" /> » (Steel, 2007, p. 66), la procrastination est un comportement courant dont les effets n'ont pas à notre connaissance, fait l'objet de recherche en sécurité de l'information (SSI). Pourtant, les effets de report induits par la procrastination peuvent compromettre les comportements de SSI. Ces comportements ont été étudiés jusqu'à présent en termes de comportements volontaires (Menard et al., 2017 ; Posey et al., 2013) ou en termes de conformité ou de non-conformité (Chen et al., 2021 ; Moody et al., 2018). Dans les recherches précédentes, la variable dépendante focale est soit l'intention de réaliser le comportement de sécurité, soit le comportement de sécurité lui-même. Nous soutenons que les employés, désireux de se conformer aux politiques de sécurité de l'information, peuvent néanmoins procrastiner et pénaliser leurs futurs comportements de SSI, en s'imaginant que tout ira bien. Les recherches antérieures ont montré que la procrastination se produit lorsqu'une situation stressante est gérée au travers de comportements d'adaptation (coping) d'évitement orientés-émotion (EFC) (Chu & Choi, 2005). De plus, la procrastination correspond à un EFC 'inadéquat' (Alexander & Onwuegbuzie, 2007), ce qui signifie que la procrastination peut limiter les comportements orientés-problème (PFC), c'est-à-dire les actions nécessaires pour remédier aux problèmes (Carver et al., 1989). L'inclusion de la procrastination permet de mieux expliquer les comportements de SSI qui sont principalement basés sur l'intention et l'adaptation active (active coping, Carver (1989)), mais qui n'incluent pas le report des actions, c'est-à-dire la procrastination. Par conséquent, nous émettons l'hypothèse que dans le contexte de la SSI, les employés peuvent procrastiner et ainsi reporter leurs comportements PFC, tout en s'engageant dans des comportements EFC, tels que la pensée positive (wishful thinking, ou 'vœux pieux'), pour atténuer le stress causé par les menaces en SSI.

Cet article vise à répondre à deux questions de recherche :

(1) Quels sont les impacts spécifiques de deux déterminants communs des comportements de SSI, c'est-à-dire la peur et l'efficacité perçue, sur la procrastination ?

(2) Quels sont les impacts respectifs de l'intention et de la procrastination sur les comportements de coping actif (PFC) et de pensée positive (EFC) ?

A notre connaissance, ce travail est le premier à comparer les effets de la procrastination et de l'intention sur les comportements de type PFC et EFC. Pour cela, nous utilisons l'EPPM (Witte, 1992) qui nous a permis d'étudier trois comportements de SSI de type PFC et EFC (Chen et al., 2022).

Notre modèle de recherche en figure 1 sous-tend l'hypothèse que la procrastination aura des effets opposés à l'intention, c'est-à-dire qu'elle aura des effets négatifs sur les comportements PFC et des effets positifs sur les comportements EFC.

<figure><img src="image_3.png" /><figcaption>**Figure 1. Modèle de recherche et hypothèses.**</figcaption></figure>

<footnote n="2">² "To voluntarily delay an intended course of action despite expecting to be worse off for the delay."</footnote>
Nous avons interrogé 1210 employés et utilisé SmartPLS pour analyser les résultats. Nos résultats démontrent que le fait de reporter les comportements de SSI n’est pas un refus de se conformer aux politiques de sécurité, mais que cela favorise d’autres comportements d’adaptation inadéquats. Plus précisément, la procrastination réduit les comportements PFC et favorise les comportements EFC et peut donc être elle-même classée comme une adaptation inadéquate. De plus, alors que la littérature en SSI affirme principalement que la peur est un facteur bénéfique pour les comportements en SSI, nous démontrons qu’elle peut exercer un effet à double tranchant car si elle favorise l’intention d’agir et donc les PFC, elle va, à l’inverse, favoriser aussi la procrastination et en conséquence les EFC inadéquats.

## Bibliographie

Alexander, E.S., Onwuegbuzie, A.J. (2007). Academic procrastination and the role of hope as a coping strategy, *Personality and Individual Differences* 42(7), 1301-1310.

Carver, C.S., Scheier, M.F., Weintraub, J.K. (1989). Assessing coping strategies: A theoretically based approach, *Journal of Personality and Social Psychology* 56, 267–283.

Chen, Y., Galletta, D.F., Lowry, P.B., Luo, X., Moody, G.D., Willison, R. (2021). Understanding Inconsistent Employee Compliance with Information Security Policies Through the Lens of the Extended Parallel Process Model, *Information Systems Research* 32 (3), 1043-1065.

Chen, Y., Luo, X., Li, H. (2022). Beyond adaptive security coping behaviors: Theory and empirical evidence, *Information & Management* 59, 1035-1070.

Chu, A.H.C., Choi, J.N. (2005). Rethinking Procrastination: Positive Effects of ‘Active’ Procrastination Behavior on Attitudes and Performance, *The Journal of Social Psychology* 145 (3), 245–264.

Menard, P., Bott, G.J., Crossler, R.E. (2017). User Motivations in Protecting Information Security: Protection Motivation Theory Versus Self-Determination Theory, *Journal of Management Information Systems* 34 (4), 1203–1230.

Moody, G.D., Siponen, M., Pahnila, S. (2018). Toward a Unified Model of Information Security Policy Compliance, *MIS Quarterly* 42(3), 285–311.

Posey, C., Roberts, T.L., Lowry, P.B., Bennett, R.J., Courtney, J.F. (2013). Insiders’ protection of organizational information assets: development of a systematics-based taxonomy and theory of diversity for protection-motivated behaviors, *MIS Quarterly* 37 (4), 1189–1210.

Steel, P. (2007). The nature of procrastination: A meta-analytic and theoretical review of quintessential self-regulatory failure, *Psychological Bulletin* 133 (1), 65–94.

Witte, K. (1992). Putting the fear back into fear appeals: the extended parallel process model, *Communication Monographs* 59 (4), 329–349.