指紋認証や顔認証といった生体認証は、パスワードを覚えたり入力したりする負担がないため、PCログインの手段として関心を持たれることが増えています。ただし、業務用のPCに使う場合は「便利だから導入する」だけでは運用が回りません。この記事では、生体認証が認証の仕組みの中でどのような位置づけにあるのかという基本から、業務PCに向いている場面・向きにくい場面、そして導入前に決めておくべき点を整理します。
生体認証は認証の「3要素」のどこに当たるのか
認証の手段は、大きく「知識(パスワードやPINなど本人が知っているもの)」「所持(スマートフォンやICカードなど本人が持っているもの)」「生体(指紋や顔など本人自身の特徴)」の3つに整理されます。指紋認証や顔認証は、このうち生体に当たります。ただし、Windows Helloの顔認証・指紋認証は、パスワードの入力を顔や指紋に置き換えてログインを簡単にするもので、同じPCの中で完結します。パスワード自体も残るため、それだけでは2要素認証にはなりません。2要素認証にするには、PCとは別の、本人のスマホなどの確認を組み合わせます。
この「要素が異なるかどうか」が重要な点です。パスワードに加えて秘密の質問を足しても、どちらも知識の要素なので強度はあまり上がりません。要素の考え方については2段階認証と2要素認証の違い、多要素認証全体の整理は多要素認証の基本で解説しています。
生体情報はどう扱われるのかという基本の確認
生体認証で気になるのは、指紋や顔の情報がどこに保存され、どのように使われるのかという点でしょう。一般的な実装では、読み取った生体情報そのものをネットワーク上で持ち回るのではなく、端末内に保持した照合用のデータと突き合わせ、その結果だけを認証に使う形が取られます。
ただし、これは実装によって異なります。どこで照合が行われるのか、照合用データがどこに保存されるのか、管理者側から何が見えるのかは、製品やサービスごとに設計が違います。導入を検討する段階で、提供元の説明を確認し、社内で説明できる状態にしておくべき事項として扱ってください。
業務PCで生体認証が向いている場面
生体認証が運用に馴染みやすいのは、次のような条件がそろっている場合です。
- 利用者と端末が1対1で対応している — 各自が自分専用のPCを毎日使う運用であれば、登録も管理も単純になります
- ログインの頻度が高い — 席を離れるたびにロックし、戻って解除する回数が多い環境では、パスワード入力の負担軽減が効きます
- 端末を持ち出す運用がある — 社外の人前でパスワードを打つ場面が減ります。ただしパスワード自体は残るので、2要素認証の代わりにはなりません(持ち出し端末そのものの管理はモバイルPCのID管理を参照)
パスワード入力の負担が大きい環境では、負担を減らしたい心理から使い回しや単純なパスワードに流れがちです。入力の負担を下げることが、結果として運用面の改善につながる場合があります。
向きにくい場面とあらかじめ知っておく注意点
一方で、生体認証がうまく機能しにくい場面もあります。
- 複数人が入れ替わって使う共用PC — 誰が使うか固定できない端末では、登録と管理の手間が増え、利用者の特定という目的も達しにくくなります
- 読み取りが安定しない作業環境 — 手袋を着用する現場では指紋の読み取りが、マスクや帽子の着用が前提の環境では顔の読み取りが難しくなることがあります
- 端末に読み取り機構がない — 指紋センサーやカメラを備えていないPCでは、そもそも選択肢になりません。既存端末の構成を確認する必要があります
- 本人が使えなくなる状況 — けがや体調の変化で読み取れなくなることは起こり得ます。代替手段の用意は必須です
- 生体情報は変更できない — パスワードのように変更できる情報ではないため、登録・保存・削除の取り扱いルールを決めておく必要があります
代替手段(フォールバック)の設計が実は要になる
生体認証を導入するとき、もっとも検討が漏れやすいのが「読み取れなかったときにどうするか」です。ここを詰めずに導入すると、読み取り失敗時にパスワード入力に戻るだけになり、日常的に読み取りに失敗する環境では、結局みんながパスワードを打つ運用に戻ってしまいます。そもそも顔認証・指紋認証はログインを簡単にする手段で、パスワードだけで入れる状態は変わりません（下の節で説明します）。
そのため、何を代替として認めるかを先に決めておくことが重要です。パスワードのみに戻すのか、別の要素を組み合わせるのか、管理者による一時的な解除手続きを用意するのか。OSログインに対して認証を強化する全体の考え方はWindows OSログインの2要素認証で扱っており、所持の要素を使う選択肢はハードウェアセキュリティキーで解説しています。
生体認証だけでは2要素認証にならない
Windows Helloの顔認証・指紋認証は、パスワードの代わりにログインを簡単にする手段で、それだけでは2要素認証ではありません。さらに、同じPCにパスワードでもサインインできる設定が残っていれば、パスワードを知っている人は顔や指紋なしで入れます。リモートデスクトップでは、生体認証ではなくパスワードで接続できる構成も少なくありません（Windows Hello for Businessの条件）。
「パスワードだけでは入れない」状態にしたい場合は、センサーの有無やADの有無に左右されない方式も検討できます（ADなしでPCログインに2要素認証を入れる方法）。
アプリップリキーなら、全PC・サーバーの状態と、利用者ごとの2要素認証の設定状況を1か所で見られます。誰がまだ設定していないかを1台ずつ聞いて回らずに分かるので、切り替えの進み具合をその場で確かめられます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、2要素認証になります（PC版・サーバー版）。センサーのないPCでも使え、毎回の操作はスマホでワンタッチなので、パスワードを打つ手間もほとんどかかりません。
導入前に確認しておくこと
生体認証を業務PCに使う場合、次の点を事前に確認しておくと、導入後の手戻りを避けやすくなります。
- 対象端末に読み取り機構があるか — 指紋センサーやカメラの有無を、既存端末ごとに把握します
- OSログインそのものに使えるのか — 特定のクラウドサービスへのログインだけに使える仕組みなのか、PC自体のログインに使えるのかを区別します
- 照合用データの保存場所と管理方法 — どこに保存され、退職時にどう削除するのかを確認します
- 代替手段の内容 — 読み取れないときに何を認めるかを、導入前に決めておきます
- 利用者への説明と同意 — 何を登録し、どう扱うのかを説明し、理解を得たうえで運用を始めます
なお、生体認証は選択肢のひとつであり、これだけが答えというわけではありません。社内でスマートフォンを業務利用しない方針を取っている場合の選択肢はスマホを使わない多要素認証で整理しています。
スマートフォンを持って離れると自動でロックするWindows標準の機能は Windowsの動的ロックの設定方法で扱っています。
普段の管理が楽になると何が変わるか
顔認証・指紋認証を検討するきっかけは、多くの場合「パスワードを打つのが面倒」「忘れたと言われて対応するのが大変」という日々の手間です。PCのログインが1か所で見られると、社員から「入れない」「ロックされた」と言われたとき、席まで行かずに、どのPCで誰が失敗したかをその場で確かめられます。
どのPCにセンサーがあるかを調べて回るより先に、全PC・サーバーの台数・OS・利用者を1画面で見られるようにしておくと、どの端末から切り替えるかの判断も迷いません。兼任の担当者でも、PCのことで呼ばれる回数が減ります。
いまの運用を棚卸ししてみる
生体認証が自社に合うかどうかは、端末の構成、作業環境、利用者ごとの使い方によって変わります。まずは現状のID・アカウント管理と認証の状況を把握することが出発点です。applippliの無料棚卸しでは、10問・約3分で、自社の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。あわせてアカウント管理の基本の整理もご確認ください。