バイオメトリクスの問題点

スマートフォンの顔認証や指紋認証、あるいは空港の自動化ゲートで目にする虹彩スキャン——これらはすべて「バイオメトリクス（生体認証）」と呼ばれる技術である。パスワードを覚える必要がなく、本人だけが持つ身体的特徴を鍵として使うこの技術は、一見すると理想的なセキュリティ手段のように映る。しかし現実には、バイオメトリクスは依然として普及に課題を抱えている。本篇では、バイオメトリクスが持つ本質的な問題点を整理し、なぜ「万能の認証手段」と言い切れないのかを考察する。あわせて、21 CFR Part 11 がバイオメトリクスをどう定義し、どのような要件を課しているのかを条文にさかのぼって確認する。

バイオメトリクスとは何か

バイオメトリクスとは、人間の生体的・行動的特徴を用いて個人を識別・認証する技術の総称である。代表的なものは次のとおりである。

パスワードや暗証番号が「知識」に基づく認証であるのに対し、バイオメトリクスは「存在」そのものに基づく認証である。この違いが、後述する問題の根本に関わってくる。

21 CFR Part 11 における定義

FDA（米国食品医薬品局）の電子記録・電子署名規則である 21 CFR Part 11 は、§11.3(b)(3) においてバイオメトリクスを次のとおり定義している。

注目すべきは、条文が「固有であること（unique）」と「測定可能であること（measurable）」の二つを同時に要求している点である。裏を返せば、Part 11 が想定するバイオメトリクスとは「本人に固有で、かつ数値として測れるもの」であり、この二条件を満たすからこそ後述する厳しい要件が成立する。そして「固有で変えられない」というまさにその性質が、本篇で扱う問題点の源泉でもある。

Part 11 はバイオメトリクスに何を求めているか

Part 11 の電子署名要件は、§11.200（Electronic signature components and controls）に置かれている。ここで極めて重要なのは、(a)項と(b)項で対象がはっきり分かれていることである。この条文構造を取り違えたまま設計を進めると、要件そのものを読み違えることになる。

なお、共謀要件（§11.200(a)(3)）については Part 11 が求める「共謀」要件とは何か でも詳しく取り上げている。

署名を発行する前の身元確認――§11.100

バイオメトリクスであれ ID／パスワードであれ、電子署名を運用する前提として §11.100 の一般要件が課される。

ここで注意したいのは、§11.100(b) の身元確認は「バイオメトリクスであれば自動的に満たされる」わけではないという点である。指紋を登録するという行為自体は、その指紋の持ち主が誰であるかを何ら保証しない。登録（エンロールメント）の時点で人が身分証等により本人を確認し、その手続を記録として残して初めて要件を満たす。バイオメトリクスの信頼性は、突き詰めれば登録手続の厳格さに依存している。

問題点①：生体情報は「究極の個人情報」である

他の個人情報との根本的な違い

氏名や住所、電話番号といった個人情報は、変更が可能である。引っ越せば住所は変わり、手続を踏めば名前も変えられる。しかしバイオメトリクスが扱う情報——指紋、虹彩、顔の骨格——は、原則として生涯にわたって変化しない。この「不変性」こそが、バイオメトリクスを個人情報保護の観点から特別扱いする理由である。

法規制における位置づけ

日本の個人情報の保護に関する法律（個人情報保護法）では、指紋データや顔認識データなど政令で定める生体情報の符号は「個人識別符号」に分類されており（第2条第2項）、単体で個人情報として扱われる。取得・利用・第三者提供には通常の個人情報と同様の安全管理措置が求められる。なお、生体データの取扱いについては、より厳格な規律の要否が引き続き検討されており、今後の制度変更を注視しておく必要がある。

EUの一般データ保護規則（GDPR）においても、生体データは第9条の「特別カテゴリーの個人データ」に位置づけられ、原則として処理が禁止されている。明示的な同意その他の例外事由がなければ取り扱えない。ただし条文上、第9条の対象となるのは「自然人を一意に識別する目的で」処理される生体データであり、単なる写真の保管が直ちに特別カテゴリーの処理に当たるわけではない点には留意したい。

データ漏洩時のリスクの非対称性

パスワードが漏洩した場合、ユーザーはパスワードを変更することで被害を最小化できる。しかし指紋データが漏洩した場合、ユーザーに取れる有効な対応策はほとんど存在しない。指は10本しかなく、そのすべてが漏洩すれば、その人物は指紋認証を永久に安全に使用できなくなる可能性がある。

2015年に米国人事管理局（OPM）で発生したサイバー攻撃では、約560万人分の指紋データが盗取されたと公表されている。これは単なる「情報漏洩」ではなく、「本人確認手段そのものの永続的な侵害」であり、その深刻さはパスワード漏洩とは比較にならない。

問題点②：変更できないという構造的脆弱性

「使い捨て」できないセキュリティ要素

現代のセキュリティ設計の基本原則の一つに、「認証情報は定期的に更新でき、漏洩した場合は即座に無効化できること」がある。パスワードはこの原則を満たす。しかしバイオメトリクスは、生体情報そのものを変更する手段を持たない。

技術的には、バイオメトリクスシステムは生体情報を「テンプレート」と呼ばれるデジタルデータに変換して保存する。このテンプレートが漏洩・複製された場合、攻撃者はそのデータを用いて認証を突破できる可能性がある。テンプレートを無効化することは可能でも、元となる生体情報を変えることはできない。

この点は、米国NISTの SP 800-63B（Digital Identity Guidelines: Authentication and Lifecycle Management） においても正面から扱われている。同ガイドラインは、生体情報の開示リスクと失効不能性（non-revocability）を理由として、バイオメトリクスを単独の認証手段（authenticator）とは認めず、物理的な認証器に強く紐づけられた「活性化要素」として、多要素認証の一部としてのみ用いることを求めている。あわせて、ISO/IEC 24745 にいうバイオメトリクス・テンプレート保護の実装も要求されている。

なりすましリスクの永続性

指紋の人工的な複製（いわゆる「偽指」）や、高精度な顔写真・3Dモデルを使った顔認証の回避といった攻撃手法は、研究者やセキュリティ専門家によって繰り返し実証されている。そして一度生体情報を複製された場合、被害者はそのリスクを一生涯背負い続けることになり得る。

パスワードであれば「漏洩したら変える」という対処が成立する。しかし指紋は「漏洩したら終わり」という側面を持つ。この非対称性は、バイオメトリクスの信頼性を根本から揺るがす問題である。§11.200(b) が求める「本人以外が使用できないように設計されていること」を、テンプレート漏洩後も維持できるか——これは規制対応上、避けて通れない問いである。

問題点③：認証精度と誤認率のトレードオフ

FARとFRRという避けられない矛盾

バイオメトリクスシステムの性能は、主に次の2つの指標で評価される。

FARを下げれば（セキュリティを高めれば）FRRが上がり（使いにくくなり）、FRRを下げれば（使いやすくすれば）FARが上がる（なりすましリスクが増す）。このトレードオフは技術的には緩和できても、ゼロにすることはできない。

参考までに、NIST SP 800-63B は生体認証を用いる場合の許容水準として、誤合致率（FMR：False Match Rate）1/1,000 以下という目安を示している。ここでいう誤合致率は ISO/IEC 30107-1 に定義される「ゼロエフォート型のなりすまし試行」を前提としたものであり、能動的な偽造攻撃に対する耐性を保証する数値ではない。

環境・身体変化による精度低下

バイオメトリクスは外部環境や本人の身体変化に影響を受けやすい。指紋認証は、指の乾燥・汗・傷によって認証精度が低下する。顔認証は、加齢・化粧・マスク着用・照明条件によって影響を受ける。声紋認証は、風邪や体調変化によって本人が認証されない事態が生じ得る。

パスワードは正しく入力すれば必ず認証される「決定論的」な手段であるのに対し、バイオメトリクスは本質的に「確率論的」な手段である。この違いは、高いセキュリティが求められる場面では重大な課題となる。GxP領域でいえば、製造記録や試験記録の承認が「認証されなかったので後で承認する」という運用に流れれば、記録の同時性そのものが損なわれかねない。

問題点④：プライバシーと監視社会のリスク

知らぬ間の収集という問題

パスワードは、本人が明示的に入力しなければ収集できない。しかしバイオメトリクスの一部——特に顔認証——は、本人が意識しない状況での収集が技術的に可能である。街頭カメラや店舗内カメラを通じた大規模な顔認証システムは、すでに一部の国で実装されており、市民の行動追跡に利用されている。

同意なき使用の問題

生体情報は、本人が積極的に提供しなくても収集されうる。電話での会話から声紋を抽出すること、SNSに投稿された写真から顔データを収集することは、理論上可能である。バイオメトリクスは「本人だけが使える鍵」であると同時に、「本人の知らない場所で鍵を複製されうる鍵」でもある。

問題点⑤：インフラ依存とコスト

バイオメトリクスの実装には、専用のセンサー・カメラ・処理システムが必要であり、導入・維持コストはパスワードシステムと比較して高い。また、停電・機器故障・ネットワーク障害が発生した際の代替手段をあらかじめ設計しておく必要がある。

センサーが故障すれば認証そのものができなくなる。この「単一障害点」のリスクは、特に医療・金融・重要インフラなどの分野で深刻な問題となりうる。GxPシステムであれば、認証手段が使えない間の代替運用手順と、その運用下で作成された記録の取扱いを、あらかじめ手順書に定めておかなければならない。なお Part 11 の §11.10(h) は、必要に応じてデバイス（端末）チェックによりデータ入力元や操作指示の正当性を確認することを求めており、認証デバイスの健全性管理もこの延長線上にある論点である（コンピュータ化システムにおける端末チェックとは）。

バイオメトリクスを正しく使うために

「代替」ではなく「補完」として位置づける

上記の問題点を踏まえると、バイオメトリクスはパスワードの「完全な代替」としてではなく、多要素認証（MFA）における一要素として活用するのが適切である。例えば、「パスワード（知識）＋指紋（生体）」の組み合わせは、単独使用よりもはるかに強固なセキュリティを実現できる。前述のとおり NIST SP 800-63B も、生体認証を単独の認証手段としては認めず、多要素認証の一部としてのみ用いることを求めている。

テンプレート保護技術への注目

近年、生体情報から変換されたテンプレートを暗号学的に保護し、元の生体情報を復元できない形で保管する「キャンセラブルバイオメトリクス」と呼ばれる技術が研究・実用化されつつある。この技術は、テンプレートが漏洩した場合でも別のテンプレートに「更新」できる仕組みを提供するものであり、バイオメトリクスの構造的脆弱性を部分的に克服する可能性を持つ。NIST SP 800-63B が要求する「バイオメトリクス・テンプレート保護（ISO/IEC 24745）」も、同じ問題意識に立つものである。

実装時のチェックポイント

1. 登録（エンロールメント）手続を文書化する§11.100(b) の身元確認は、生体情報を登録する前に人が実施する手続である。誰が、どの身分証で、いつ確認したかを記録に残す。
2. §11.200(b) 適合の根拠を示せるようにする「本人以外が使用できないように設計されている」ことを、生体検知機能・しきい値設定・テンプレート保護の仕様として文書化し、バリデーション記録で裏づける。
3. FAR／FRR のしきい値を意思決定として記録するどの水準に設定し、なぜその水準としたのかを、リスクアセスメントの結論として残す。
4. 代替認証手段と復旧手順を定めるセンサー故障・怪我・体調変化で認証できない場合の代替手段を用意し、その際も §11.100(a) の一意性が崩れないようにする。
5. 監査証跡と署名の紐づけを確認する§11.70 は、電子署名が記録から切り離されたり他の記録へ転用されたりしないことを求めている。認証方式が生体であっても、この要件は変わらない。

バイオメトリクスは「本人だけが持つ特徴」を活用するという点で、認証技術として本質的な優位性を持つ。しかしその「変えられない」という性質は、漏洩時の被害を永続化させるという深刻なリスクを生む。加えて、法的な個人情報保護の要件の厳格さ、認証精度のトレードオフ、プライバシーへの脅威、インフラ依存のコストといった課題が複合的に存在している。

これらの問題点を理解した上で、バイオメトリクスを適切な場面・方法で活用することが、現時点での最善のアプローチである。技術がどれだけ進歩しても、リスクをゼロにすることはできない。重要なのは、リスクを正確に認識し、設計の中で管理することである。