カジノサイト
生体認証管理に関するカナダのガイドは、すべての企業セキュリティ責任者にとって有用なリソースです
カナダのプライバシー委員会は、カナダのプライバシー委員会の遵守方法を明確にしたガイダンス文書を発表(PIPEDA) の生体認証情報の管理と使用そして。カナダに拠点を置く機関にとっては明らかに優れたリソースですが、平易な言葉、直接的なアプローチ、ビジネス関連のガイダンスの例により、世界中の組織にとって優れたリソースとなっています。
両方の文書の前文資料では、ガイダンスを理解するために必要な重要な用語が確立されています。たとえば、生理学的バイオメトリクス (指紋、虹彩パターン、DNA など) と行動バイオメトリクス (歩行、キーストローク パターン、目の動きなど) の違いに注目しています。また、ユースケースを 2 つのカテゴリに分類します。検証は、単一のサンプルと単一のテンプレートを比較する 1 対 1 の認識システムです。パーソナル コンピューターのロックを解除するための顔認識はその一例です。識別は、単一のサンプルをテンプレートのデータベースと比較する 1 対多の認識システムです。群衆の中の誰かを識別する顔認識はその一例です。
このガイダンスでは、感度についても説明しています。生体認証データは、次の基準のいずれかを満たしている場合、機密であるとみなされます。
- 個人を一意に識別できるようにする他の情報と組み合わせられている、または簡単に組み合わせられる可能性があります。
- その悪用は個人に危害を及ぼす高いリスクを引き起こす可能性があります。または
- 機密とみなされる他のカテゴリの情報 (医療情報など) が明らかになる可能性があります。
企業向け文書の実際のガイダンスは、生体情報の企業利用の目的を検討することから始まります。 「収集する生体情報の用途を常に明確にしておく必要があります。個人情報は、後日決定される投機的または将来的な目的のために収集してはなりません」と記載されています。
ユースケースは次のようにする必要があります有効: 「プログラムは、導入される目的を効果的に達成するように設計されなければなりません。方法やプロセスの科学的および技術的妥当性、テクノロジーの精度とエラー率、生体認証テクノロジーが危険にさらされたり回避されたりするリスクを考慮してください。」
プロセスはでなければなりません最小限の侵入: 「一般に、よりプライバシーを保護する代替手段が利用可能な場合、生体認証を導入する組織の利便性だけを目的として生体認証を使用すべきではありません。プライバシーの侵害を可能な限り減らすためにどのような措置を講じることができるかを検討してください。」
生体認証情報の使用によって得られる利益は次のとおりである必要があります比例プライバシーと侵入性のコストについて: 「生体認証情報の収集、使用、開示を伴う取り組みは、プライバシーに重大な影響を与える可能性があります。これらの影響が比例するためには、生体認証プログラムのメリットがそれに見合った高さでなければなりません。」
この文書には、ガイダンスの各分野で、それがどのように適用されるかの実例が記載されています。侵入性と比例性のテストに関して、ガイドはカナダ最大の無線プロバイダーであるロジャース コミュニケーションズを指摘しました。同社は、サポート ラインに電話するアカウント所有者を認証するために音声識別システムを使用していました。当局ユースケースは目的と比例性のテストに合格しました。で、別の組織は、法科大学院の共通テストを受ける人の身元を確認するために指紋を使用しました。当局は、この事件におけるプライバシーへの侵害は目的要件を満たしていないと認定した。つまり、組織はテストの完全性を保護するという意図された目的で実際に指紋を使用しなかった。
目的と用途を検討した後、ガイダンスは同意に変わります。 「同意を得るための重要な要素は、組織が自分の個人情報をどのように管理するかについて、個人が適切な知識を持っていることを確認することです」とガイダンスには記載されています。 「同意が有効または意味のあるものであるためには、組織はプライバシーの実践について包括的かつわかりやすい方法で個人に通知する必要があります。」
同意においては特異性が重要な考慮事項です。 Rogers Communications の例に戻ります。生体認証データの目的と使用は許容可能でしたが、データ収集方法により同意に関する懸念が生じました。 「組織がカスタマー サポート ラインへの発信者から声紋を収集している場合、『この通話は識別目的で録音される可能性があります』のような一般的な記述では、有効な同意を得るには一般に十分ではありません。」この通知は明確で明示的な通知ではなかったためです。ガイダンスによれば、「生体情報が収集、使用、または開示されることを個別かつ明示的に指定する必要があります。」
このガイダンスでは、企業は、生体認証データの収集、使用、保存を、必要なビジネス機能を実行するために必要なものにのみ制限する必要があると記載しています。たとえば、個人を認識するために指紋と別の生体認証情報の両方を使用するには、追加情報の明確な必要性が必要になります。
このガイダンスでは、組織は可能な限り識別システムではなく検証システムを選択する必要があるとも示唆されています。可能な限り、個人の個人情報は、個人の携帯電話トークンを使用して認識を検証するなど、個人が管理する必要があります。 「代替手段が実行可能な場合は、生体情報の大規模な集中型データベースの作成は避けるべきです。侵害が発生した場合、集中型データベースはより広い範囲と規模の潜在的なプライバシーへの影響に対して脆弱になります。」とガイダンスには記載されています。
さらに、生体情報を使用する組織は、「個人情報を紛失、盗難、または不正なアクセス、使用、開示、コピー、または変更から保護する」適切な保護措置を講じる必要があります。ガイダンスでは、組織は侵害を防ぐために「物理的、組織的、および技術的な対策」を講じる必要があると述べています。 「セキュリティ対策を定期的に見直して更新し、選択した生体認証技術に特有のリスクを含め、進化するセキュリティの脅威や脆弱性にこれらの対策が確実に対処できるようにしてください。」
その生体認証システムは急速に成長しており、その使用に関するプライバシー上の懸念も高まっています。地方自治体は、強化された機能とユースケースに対応するよう努めています。
欧州連合の一般データ保護規則 (GDPR)生体認証データは個人データの特別なカテゴリであり、最も制限の厳しい枠組みの 1 つに入れられます。生体認証の収集と使用には、データ主体からの明示的な同意が必要です。そうでない場合は、実質的な公共の利益に貢献する必要があります。この地域の規則は厳格だった。スウェーデンの学校では、出席を取るために顔認証を使用することに保護者の同意を得ました。その使用は GDPR で許可されている理由の 1 つではなく、学校と生徒の保護者との間の力関係により同意が強制されたものとみなされたため、使用は認められませんでした。
中国は顔認識規制を制定私的使用の制限テクノロジーの。この規則が制定される前は、国内では顔認識システムが急速に普及しており、入店に顔スキャンが必要な店舗も報告されていた。政府による使用には適用されず、セキュリティおよび新興技術センターは、研究開発または人工知能モデルのトレーニングで顔認識を無制限に使用できる抜け穴が含まれていると報告しました。
米国では、生体認証データ規制に対する連邦政府のアプローチはなく、問題は各州に委ねられています。生体認証データの収集と使用を特に規制する既存の法律があります。はより包括的なものの 1 つです。これは書面によるポリシーを要求し、民間団体は生体情報の収集と使用について同意を得る必要があると規定しています。また、セキュリティにとって直接重要ないくつかの規定も含まれています。民間団体は次のことを行う必要があります:
「民間企業の業界内で合理的な標準的なケアを使用して、すべての生体認証識別子と生体認証情報を保存、送信し、開示から保護します。」
「すべての生体認証識別子と生体認証情報を、民間事業体が他の機密情報や機密情報を保存、送信、保護する方法と同じか、それよりも保護的な方法で保存、送信、開示から保護します。」
2024 年 8 月にセキュリティ管理いくつかの記事を公開しました生体認証の神話を打ち破る.
生体認証の使用に関するさまざまな側面が定期的にニュースに登場します。直近では 5 月に、Today in Security説明済みニューオーリンズで使用されている顔認識の導入は、市の条例に違反していると思われるため法的監視の対象となった。 4月、今日は警備中報告済み生体認証スプーフィングに関するユーロポールの論文について。
