指紋認証や顔認証といった生体認証は、パスワードを覚えたり入力したりする負担がないため、PCログインの手段として関心を持たれることが増えています。ただし、業務用のPCに使う場合は「便利だから導入する」だけでは運用が回りません。この記事では、生体認証が認証の仕組みの中でどのような位置づけにあるのかという基本から、業務PCに向いている場面・向きにくい場面、そして導入前に決めておくべき点を整理します。
生体認証は認証の「3要素」のどこに当たるのか
認証の手段は、大きく「知識(パスワードやPINなど本人が知っているもの)」「所持(スマートフォンやICカードなど本人が持っているもの)」「生体(指紋や顔など本人自身の特徴)」の3つに整理されます。指紋認証や顔認証は、このうち生体に当たります。パスワードは知識の要素ですから、パスワードと生体認証を組み合わせれば、異なる2つの要素による認証になります。
この「要素が異なるかどうか」が重要な点です。パスワードに加えて秘密の質問を足しても、どちらも知識の要素なので強度はあまり上がりません。要素の考え方については2段階認証と2要素認証の違い、多要素認証全体の整理は多要素認証の基本で解説しています。
生体情報はどう扱われるのか、という基本の確認
生体認証で気になるのは、指紋や顔の情報がどこに保存され、どのように使われるのかという点でしょう。一般的な実装では、読み取った生体情報そのものをネットワーク上で持ち回るのではなく、端末内に保持した照合用のデータと突き合わせ、その結果だけを認証に使う形が取られます。
ただし、これは実装によって異なります。どこで照合が行われるのか、照合用データがどこに保存されるのか、管理者側から何が見えるのかは、製品やサービスごとに設計が違います。導入を検討する段階で、提供元の説明を確認し、社内で説明できる状態にしておくべき事項として扱ってください。
業務PCで生体認証が向いている場面
生体認証が運用に馴染みやすいのは、次のような条件がそろっている場合です。
- 利用者と端末が1対1で対応している — 各自が自分専用のPCを毎日使う運用であれば、登録も管理も単純になります
- ログインの頻度が高い — 席を離れるたびにロックし、戻って解除する回数が多い環境では、パスワード入力の負担軽減が効きます
- 端末を持ち出す運用がある — 社外で使う端末は、パスワードのみの状態を避けたい対象です(持ち出し端末そのものの管理はモバイルPCのID管理を参照)
パスワード入力の負担が大きい環境では、負担を減らしたい心理から使い回しや単純なパスワードに流れがちです。入力の負担を下げることが、結果として運用面の改善につながる場合があります。
向きにくい場面と、あらかじめ知っておく注意点
一方で、生体認証がうまく機能しにくい場面もあります。
- 複数人が入れ替わって使う共用PC — 誰が使うか固定できない端末では、登録と管理の手間が増え、利用者の特定という目的も達しにくくなります
- 読み取りが安定しない作業環境 — 手袋を着用する現場では指紋の読み取りが、マスクや帽子の着用が前提の環境では顔の読み取りが難しくなることがあります
- 端末に読み取り機構がない — 指紋センサーやカメラを備えていないPCでは、そもそも選択肢になりません。既存端末の構成を確認する必要があります
- 本人が使えなくなる状況 — けがや体調の変化で読み取れなくなることは起こり得ます。代替手段の用意は必須です
- 生体情報は変更できない — パスワードのように変更できる情報ではないため、登録・保存・削除の取り扱いルールを決めておく必要があります
代替手段(フォールバック)の設計が実は要になる
生体認証を導入するとき、もっとも検討が漏れやすいのが「読み取れなかったときにどうするか」です。ここを詰めずに導入すると、読み取り失敗時に自動的にパスワード入力だけに戻る設計になり、結局その端末の実質的な強度はパスワードのみと同じところまで落ちてしまいます。生体認証を足したつもりでも、日常的に読み取りに失敗する環境では、パスワードだけで入れる状態が常態化しかねません。
そのため、何を代替として認めるかを先に決めておくことが重要です。パスワードのみに戻すのか、別の要素を組み合わせるのか、管理者による一時的な解除手続きを用意するのか。OSログインに対して認証を強化する全体の考え方はWindows OSログインの2要素認証で扱っており、所持の要素を使う選択肢はハードウェアセキュリティキーで解説しています。
導入前に確認しておくこと
生体認証を業務PCに使う場合、次の点を事前に確認しておくと、導入後の手戻りを避けやすくなります。
- 対象端末に読み取り機構があるか — 指紋センサーやカメラの有無を、既存端末ごとに把握します
- OSログインそのものに使えるのか — 特定のクラウドサービスへのログインだけに使える仕組みなのか、PC自体のログインに使えるのかを区別します
- 照合用データの保存場所と管理方法 — どこに保存され、退職時にどう削除するのかを確認します
- 代替手段の内容 — 読み取れないときに何を認めるかを、導入前に決めておきます
- 利用者への説明と同意 — 何を登録し、どう扱うのかを説明し、理解を得たうえで運用を始めます
なお、生体認証は選択肢のひとつであり、これだけが答えというわけではありません。社内でスマートフォンを業務利用しない方針を取っている場合の選択肢はスマホを使わない多要素認証で整理しています。
まずは自社の状況を確認する
生体認証が自社に合うかどうかは、端末の構成、作業環境、利用者ごとの使い方によって変わります。まずは現状のID・アカウント管理と認証の状況を把握することが出発点です。applippliの無料診断では、約3分の質問に回答するだけで、自社の対応状況を確認できます。あわせてアカウント管理の基本の整理もご確認ください。