Vad är biometri i säkerhetssystem?

Biometri innebär att känna igen en person på kroppen i stället för på en kod eller en tagg, till exempel via fingeravtryck, ansikte eller iris. I säkerhetssystem används det främst för att styra vem som får passera en dörr eller logga in i ett system.

Tekniken är smidig, eftersom en kroppsegenskap varken kan tappas eller lånas ut. Samtidigt är den känslig. Biometriska uppgifter räknas som särskilt skyddsvärda i GDPR, och till skillnad från ett lösenord går ett fingeravtryck inte att byta om det läcker. För en verksamhet handlar valet därför lika mycket om juridik och proportionalitet som om teknik.

Vad biometri bygger på

En biometrisk egenskap ska vara unik för individen, gå att mäta och hålla sig stabil över tid. Fingeravtryck och iris ändrar sig till exempel knappt under ett liv, vilket gör dem pålitliga att läsa av om och om igen.

Egenskaperna delas in i två slag. Fysiska kännetecken är sådant som finns på kroppen, medan beteendebaserade bygger på hur någon gör något, som rösten eller sättet att skriva. I säkerhetssystem är det framför allt de fysiska som används, eftersom de är enklare att mäta exakt.

Vanliga biometriska metoder

Några metoder återkommer i passer- och säkerhetssystem:

Fingeravtryck, den vanligaste och billigaste, som läser av mönstret på fingret.
Ansiktsigenkänning, som mäter avstånd och former i ansiktet och kan ske på håll.
Iris- och näthinneläsning, som är mycket exakt och används där kraven är höga.
Handgeometri och ådermönster, som läser handens form eller blodkärl under huden.
Röstigenkänning, som identifierar en person på rösten, ofta vid telefonbaserad inloggning.

Så fungerar igenkänningen

Allt börjar med en registrering. Vid registreringen läses egenskapen av och systemet räknar om den till en matematisk mall. Det är mallen som sparas, inte en bild av fingret eller ansiktet, vilket gör det svårare att återskapa originalet.

Sedan arbetar systemet på ett av två sätt. Vid verifiering jämför det en person mot en enda sparad mall, alltså ett påstått ID, medan det vid identifiering söker igenom hela registret efter en träff. Hur strikt matchningen ska vara styrs av ett tröskelvärde, en avvägning mellan att avvisa rätt person och att släppa in fel.

Var biometri används

I säkerhetssammanhang sitter biometrin oftast vid dörren. Ett digitalt låssystem kan öppna för ett registrerat fingeravtryck i stället för en tagg, vilket är vanligt i serverrum, laboratorier och andra utrymmen med högt skyddsvärde.

Utöver passage används biometri för tidregistrering och för inloggning i datorer och system. Fördelen är densamma överallt: en anställd kan inte låna ut sitt fingeravtryck så som en bricka eller kod kan vandra mellan personer.

En egenskap som inte kan bytas

Här finns den verkliga svagheten. En kod kan bytas och en tagg spärras, men en person har bara tio fingrar och ett ansikte. Läcker mallarna ut, eller går det att lura sensorn, finns ingen enkel återställning.

Därför byggs bättre system med skydd mot manipulation, så kallad liveness-kontroll som skiljer ett levande finger från en kopia. Ingen metod är helt säker, och hur stor risken är beror på hur mycket som står på spel bakom dörren.

Biometri och GDPR

Det här är ofta den avgörande frågan. När biometri används för att identifiera en person räknas uppgifterna som en särskild kategori i GDPR, alltså extra skyddsvärda, och behandlingen är förbjuden om inte ett tydligt undantag gäller.

För en arbetsgivare räcker det sällan med samtycke, eftersom förhållandet mellan chef och anställd inte ses som jämlikt. Integritetsskyddsmyndigheten har granskat biometrisk teknik och bland annat underkänt ansiktsigenkänning för närvarokontroll i skolmiljö. Kravet är att åtgärden står i proportion till behovet, och samma principer gäller för kameraövervakning med ansiktsigenkänning.

Lagring och kombination

Var mallarna sparas spelar roll. Ligger de bara lokalt på ett kort som den anställde själv bär, sprids ingen central databas som kan läcka. En central lagring är smidigare att administrera men blir ett känsligare mål.

I miljöer med höga krav används biometri sällan ensamt. Den kombineras med ett kort eller en kod, vilket ger en tvåfaktorsautentisering där något du har möter något du är. Hur uppgifterna hanteras är i grunden en del av verksamhetens informationssäkerhet.

Inför ett införande

Börja med behovet och proportionaliteten. Fråga om biometri verkligen behövs, eller om en tagg och en kod räcker för det som ska skyddas.

Om svaret är ja, klargör den rättsliga grunden, välj helst lokal lagring av mallarna och kombinera gärna med en andra faktor. Då blir biometrin både säkrare och lättare att försvara om en granskning kommer.