Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第3部 3-8

生体認証とは｜本人拒否率と他人受入率の考え方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 顔認証・指紋認証の入退室や端末ロックを導入するとき
  • 販売店から「認証の精度は〇〇分の1です」と説明され、その数字の意味を確かめたいとき
  • SGや支援士、Security+の勉強で、FRR・FAR・EERの関係をつかみたいとき

読み終えたあと、社内でこう言えます

「生体認証の照合データの置き場所と、代わりの確認手段を決めました」

結論：生体認証の精度は、本人なのに拒否される率（本人拒否率、FRR）と、他人なのに通してしまう率（他人受入率、FAR）の2つで見ます。この2つは片方を下げると、もう片方が上がる関係にあり、どこで線を引くかを用途で決めます。生体情報は、漏れてもパスワードのように変えられません。照合用のデータは端末や機器の中に閉じ込め、本人以外の確認手段も残しておきます。顔や指紋から作った照合用のデータは、個人情報保護法の「個人識別符号」に当たり、それだけで個人情報として扱います。

判定の厳しさを変えると本人拒否率と他人受入率が逆向きに動き、2つが等しくなる点が等価エラー率であることを示す図

生体認証とは：体の特徴で本人を確かめる

生体認証は、指紋や顔など、その人の体や動作の特徴で本人を確かめる方法です。認証の3つの要素（知っているもの・持っているもの・本人の特徴）のうち、「本人の特徴」に当たります。

分類例職場での使われ方
身体的特徴指紋、顔、静脈（手のひら・指）、虹彩（目の模様）、網膜パソコンやスマホのロック解除、事務所や倉庫の入退室、勤怠の打刻
行動的特徴声紋（声の特徴）、署名の筆跡や筆圧電話窓口での本人確認、電子署名の補助

パスワードと違い、忘れたり人に教えたりできないのが利点です。一方で、体調や環境で読み取りの結果が揺れるという、パスワードにはない弱点があります。そのため、精度を「率」で考える必要があります。

本人拒否率と他人受入率：2つは逆向きに動く

生体認証は、読み取った特徴と登録した特徴が「どれくらい似ているか」を点数にし、基準の点（しきい値）を超えたら本人と判定します。完全一致はまずないため、2種類の誤りが必ず起きます。

指標意味起きると困ること
本人拒否率（FRR）本人なのに「違う」と判定される割合扉が開かず仕事が止まる。現場が使わなくなる。
他人受入率（FAR）他人なのに「本人」と判定される割合入るべきでない人が入れる。なりすましを許す。

しきい値を厳しくすると、他人は通りにくくなります（FARが下がる）。しかし本人も弾かれやすくなります（FRRが上がる）。ゆるくすると、その逆です。両方を同時に下げるには、読み取り装置や方式そのものを良くするしかありません。

2つの率が等しくなる点を等価エラー率（EER）と呼びます。EERが低いほど、方式としての精度が高いと比べられます。ただし実際の運用では、EERの点ではなく、用途に合わせてしきい値を置きます。

用途重視する率しきい値
サーバー室・金庫室の入室FARを低く（他人を通さない）厳しめ。弾かれたらカードやPINで入る。
勤怠の打刻・事務所の入口FRRを低く（本人を待たせない）やや緩め。ほかの対策（防犯カメラ・受付）と組み合わせる。

数字の読み方：たとえば社員100人の物流会社では（架空の例）

社員100人が1日に4回、倉庫の扉を指紋で通るとします。1日の認証は400回です。本人拒否率が2%なら、1日に約8回、本人が扉の前で止められる計算です。

軍手をしたままの人や、手が荒れやすい季節には、この数字がさらに上がることがあります。止められるたびに誰かが扉を開けてあげる運用になると、仕組みそのものが形だけになります。カタログの率だけでなく、自社の回数と環境に当てはめて考えることが大事です。

メーカーや指針が示す数字の例

メーカーの数字は、条件をそろえた試験での値です。販売店に確かめるときは、どの率の数字か、どんな条件で測ったかを文面で聞いてください。英語ではFMR・FNMRと書かれることもあります。照合の段階での誤りを指す呼び方で、FAR・FRRとほぼ同じ向きの指標です。

生体情報は変えられない：だから置き場所が大事

パスワードは漏れたら変えられます。しかし指紋や顔は、漏れても変えられません。このため、生体認証は次のように設計するのが基本です。

  1. 照合用のデータを外へ出さない：端末の中の安全な領域で照合し、サーバーに送らない方式を選ぶ。スマホやパソコンの指紋・顔認証の多くはこの形です。
  2. なりすましの検知がある方式を選ぶ：写真やシリコンの指で通らないよう、生きた本人かを確かめる機能（なりすまし検知）があるかを確かめる。
  3. 単独で使わない：NISTの指針も、生体認証はそれだけで認証とは認めず、端末などの「持っているもの」と組み合わせて使うとしています。
  4. 代わりの手段を残す：けがや病気で使えない人のために、カードやPINなど別の方法を用意する。

パスキーでも、指紋や顔は端末のロック解除にだけ使われ、サーバーには送られません。仕組みはパスキーとパスワードレス認証の節で説明しています。入退室の機器では、照合用のデータを機器やクラウドに保存する製品もあります。導入前にどこに保存され、誰が見られるかを確かめてください。

個人情報保護法ではどう扱われるか

個人情報保護委員会のガイドライン（通則編）は、顔・指紋・静脈・虹彩・声などの特徴を、本人の認証のためにコンピューターで使える形に変えたものを個人識別符号としています。個人識別符号は、氏名と結びついていなくても、それだけで個人情報です。

会社が社員の顔や指紋を登録するときに、最低限やることは次のとおりです。

やること具体例
利用目的を決めて伝える「事務所の入退室管理のため」と社内規程や掲示で示す。勤怠や評価に使うなら、それも書く。
安全に保管する照合用データを見られる人を絞り、機器の管理画面のパスワードを初期値から変える。
いらなくなったら消す退職や異動のときに、登録を消す手順を決める。消した記録を残す。
委託先を確かめるクラウド型の入退室システムなら、保存場所と委託先の管理を契約で確かめる。

店舗の防犯カメラで顔を識別する場合は、さらに注意点が増えます。顔識別を使うことまで利用目的に書き、掲示などで知らせる必要があると、委員会のQ&A（Q1-14）は説明しています。

2026年の法改正：顔特徴データ等に新しいルール

2026年7月17日に公布された改正個人情報保護法では、顔特徴データ等の扱いに新しいルールが入りました。個人情報保護委員会の資料によると、主な点は次の3つです。

施行は、原則として公布から2年を超えない範囲で決まります。対象となるデータの範囲や周知の方法は、今後の政令や規則で定める予定です。顔認証を入れる会社は、委員会の発表を追ってください。

導入前に確かめる5つのこと

  1. どの率の数字か：カタログの精度が、FARなのかFRRなのか、どんな条件で測ったか。
  2. 現場で通るか：手袋、マスク、手荒れ、逆光など、自社の環境で試したか。
  3. データの置き場所：照合用データが機器・社内サーバー・クラウドのどこにあり、誰が見られるか。
  4. 代わりの手段：読み取れない人や、機器が止まったときにどう入るか。
  5. 社内への説明：利用目的、保存期間、退職時の消去を、規程と掲示で伝えたか。

チェックシートではこう聞かれる

よくある設問答え方の例
重要な情報を扱う区域への入退室を管理していますか。はい。サーバー室は顔認証とICカードの両方で入室を制限し、入退室の記録を1年間保存しています。
パソコンの画面ロックに生体認証を使っていますか。はい。Windows Helloの顔認証を使い、照合は端末内で行っています。読み取れない場合はPINで解除します。
従業員の生体情報の取り扱いを定めていますか。いいえ。現在は入退室の機器に登録しているのみで、〇月までに利用目的と退職時の消去を規程に定める予定です。

生体認証を使っていなくても、入退室の管理はカードや鍵の管理で答えられます。何で、どこを、誰に限っているかを書くと伝わります。

試験ではここが問われる

SG・支援士・Security+ 4・CISSP 5

  • FRRとFAR：本人拒否率は本人を拒む割合、他人受入率は他人を受け入れる割合。しきい値を厳しくするとFARが下がりFRRが上がる、という向きを問われます。
  • EER（等価エラー率）：FRRとFARが等しくなる点。低いほど方式の精度が高い。英語ではCER（Crossover Error Rate）とも呼ばれます。
  • 身体的特徴と行動的特徴：指紋・顔・静脈・虹彩・網膜は身体的、声紋・署名は行動的です。
  • 変更できない：生体情報は漏れても変えられないため、照合データの保護と、ほかの要素との組み合わせが前提です。
  • 個人識別符号：認証用に変換した顔や指紋の特徴データは、それだけで個人情報になります。

確認問題

問1 生体認証で、判定のしきい値を厳しくしたときの変化として、最も適切なものはどれですか。

  1. ア 本人拒否率も他人受入率も下がる
  2. イ 本人拒否率は上がり、他人受入率は下がる
  3. ウ 本人拒否率は下がり、他人受入率は上がる
  4. エ どちらの率も変わらない
答えと解説
正解：イ　厳しくすると他人は通りにくくなりますが、本人も弾かれやすくなります。2つは逆向きに動くため、アのように同時に下げるには方式や装置そのものを良くする必要があります。

問2 社員60人の食品工場（架空）で、製造エリアの入口に指紋認証を入れたところ、手袋や手荒れで本人が通れないことが続きました。対応として、最も適切なものはどれですか。

  1. ア しきい値を大きく緩め、誰でも通りやすくする
  2. イ 通れない人には、管理者の指紋を貸して通らせる
  3. ウ 現場の環境で本人拒否率を測り直し、静脈や顔など環境に合う方式やカードとの併用を検討する
  4. エ 指紋認証をやめ、入口の扉を開けたままにする
答えと解説
正解：ウ　問題は現場の環境での本人拒否率の高さです。環境に合う方式や代わりの手段を検討します。アは他人受入率が上がり、イは本人確認の意味がなくなります。エは入室の管理そのものを捨てています。

問3 生体認証について述べた文として、最も適切なものはどれですか。

  1. ア 生体情報は漏れても、パスワードと同じように変更すればよい
  2. イ 等価エラー率は、本人拒否率と他人受入率が等しくなる点の値である
  3. ウ 署名の筆跡による認証は、身体的特徴を使う方式である
  4. エ 認証用に変換した指紋のデータは、氏名と結びつかなければ個人情報に当たらない
答えと解説
正解：イ　等価エラー率（EER）の定義です。アは誤りで、生体情報は変えられません。ウの筆跡は行動的特徴です。エも誤りで、認証用の指紋データは個人識別符号として、それだけで個人情報に当たります。

よくある質問

社員に指紋や顔の登録を義務にしてもよいですか？
利用目的を決めて伝え、安全に管理することが前提です。そのうえで、登録したくない人やできない人のために、カードなど別の手段を用意しておくと、もめごとを避けられます。改正法の施行に向けた委員会の発表も確かめてください。
顔認証はマスクをしていても使えますか？
製品によって違います。マスクに対応した方式でも、他人受入率や本人拒否率が変わることがあります。Appleも、よく似たきょうだいなどではマスクによって確率が上がるとしています。重要な区域では、カードやPINとの併用を考えてください。
パソコンの指紋認証は、多要素認証になりますか？
多くの場合、指紋は端末の中の鍵を使うための確認です。端末（持っているもの）と指紋（本人の特徴）の2つを使うため、パスキーのように多要素として扱える仕組みもあります。どのサービスのログインに使われているかを確かめてください。

入退室や認証の設問は任せて、確認と提出だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の実態に合わせた回答を作ってお返しします。入退室の管理や生体情報の扱いなど、書き方に迷う設問も、予定の書き方まで添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年6月一部改正）
  2. 個人情報保護委員会「令和8年 改正個人情報保護法について」（2026年7月）
  3. 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Q1-14
  4. NIST「SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management」（2025年7月）
  5. Apple「Face IDの高度な技術について」
  6. ISO「ISO/IEC 2382-37:2022 Information technology — Vocabulary — Part 37: Biometrics」（2022年3月）
  7. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1（2025年4月）