情報セキュリティマネジメント 2018年 春期 午前（科目A） 問22
問題文
バイオメトリクス認証システムの判定しきい値を変化させるとき、FRR（本人拒否率）とFAR（他人受入率）との関係はどれか。
選択肢
ア：FRRとFARは独立している。
イ：FRRを減少させると、FARは減少する。
ウ：FRRを減少させると、FARは増大する。（正解）
エ：FRRを増大させると、FARは増大する。
🔒 解説は解答すると表示されます
FRRとFARのトレードオフ【情報セキュリティマネジメント解説】
正解の理由
生体認証（生体情報を使った本人認証）の判定は「どれだけ一致すれば本人とみなすか」というしきい値で決まります。FRR（False Rejection Rate：本人拒否率）は正しいユーザを誤って拒否する割合、FAR（False Acceptance Rate：他人受入率）は不正な他人を誤って受け入れる割合を表します。しきい値を「ゆるくする」（許容差を大きくする）と、正しいユーザを拒否する確率が下がりFRRは減少しますが、その分、類似している他人も通ってしまいやすくなりFARは増大します。逆にしきい値を「厳しくする」とFRRは増え、FARは減ります。したがって、選択肢ウ（FRRを減少させると、FARは増大する）が正しいです。
（注）FRR = 正規ユーザが拒否される割合、FAR = 不正者が受け入れられる割合。英語の原語も併記しました。
解法ステップ
- FRR と FAR の意味を確認する
- FRR（False Rejection Rate）：本人を拒否する誤りの割合
- FAR（False Acceptance Rate）：他人を受け入れる誤りの割合
- しきい値（マッチングの厳しさ）が変わるとどう動くかを考える
- しきい値を「緩める」＝合格ラインを下げる → 合格しやすくなる
- しきい値を「厳しくする」＝合格ラインを上げる → 合格しにくくなる
- 動きから誤り率の増減を推定する
- 緩める → FRR↓（本人を拒否しにくい）、FAR↑（他人が通りやすい）
- よって「FRRを減らすとFARが増える」が成り立つ
- 選択肢と照らし合わせて正答を決める（ウ）
選択肢別の誤答解説
- ア: FRRとFARは独立している。
→ 誤り。FRRとFARはしきい値の設定によって逆方向に変動する、いわゆるトレードオフの関係にあるため独立ではありません。 - イ: FRRを減少させると、FARは減少する。
→ 誤り。FRRを減らす（緩める）と、正しくない他人も通過しやすくなりFARは増えます。両方が同時に下がるのは一般的な挙動ではありません。 - ウ: FRRを減少させると、FARは増大する。
→ 正答。上記の通り、しきい値を緩めると利便性は上がるが安全性（偽受入）は下がる、典型的なトレードオフです。 - エ: FRRを増大させると、FARは増大する。
→ 誤り。しきい値を厳しくしてFRRが増える（本人が弾かれやすい）場合、逆に他人が通りにくくなるためFARは通常減少します。
よくある誤解
- 「両方を同時に良くできる」はよくある誤解。アルゴリズムやセンサーが改善されれば両方下がることもあるが、単にしきい値を調整するだけでは必ずトレードオフが生じる点を理解しておく必要があります。
- 「しきい値を上げる／下げる」の方向を混同する。上げる＝厳しくする＝拒否が増える（FRR↑）という基本を押さえておきましょう。
- 結果を数字で見ないで感覚で決める。業務で使うなら、実際のFRR/FARの値や許容範囲（リスク）を定量的に設定することが重要です。
補足コラム
運用現場では、使う場所によって適切なしきい値は変わります。例えば、出勤管理の指紋認証なら利便性を重視してFRR低め（少しFARを許容）にすることが多いです。一方で金庫室や機密データのアクセスならFARを極力下げる（厳しいしきい値）必要があります。
技術的に両者を改善したい場合は、高性能なセンサー、より良いマッチングアルゴリズム、複数の生体（顔＋指紋）を組み合わせる多要素生体認証、あるいはパスワードやカードと組み合わせる多要素認証が有効です。評価指標としてROC曲線（受入率と拒否率の関係を示す曲線）やEER（Equal Error Rate：FRRとFARが等しくなる点）を使ってしきい値を決めることもあります。
技術的に両者を改善したい場合は、高性能なセンサー、より良いマッチングアルゴリズム、複数の生体（顔＋指紋）を組み合わせる多要素生体認証、あるいはパスワードやカードと組み合わせる多要素認証が有効です。評価指標としてROC曲線（受入率と拒否率の関係を示す曲線）やEER（Equal Error Rate：FRRとFARが等しくなる点）を使ってしきい値を決めることもあります。
FAQ
Q1: どちらがより重大な問題ですか、FRRとFARどちらを優先すべき？
A1: 業務とリスクによります。顧客サービスや打刻など利便性重視ならFRR低減を優先。機密保護や金銭価値が絡む場合はFAR低減（偽受入を防ぐ）を優先します。リスク評価で判断してください。
A1: 業務とリスクによります。顧客サービスや打刻など利便性重視ならFRR低減を優先。機密保護や金銭価値が絡む場合はFAR低減（偽受入を防ぐ）を優先します。リスク評価で判断してください。
Q2: しきい値調整だけで両方とも改善できますか？
A2: 原則としてしきい値調整はトレードオフを生みます。両方改善したければ、機器・アルゴリズム改善や多要素認証の導入が必要です。
A2: 原則としてしきい値調整はトレードオフを生みます。両方改善したければ、機器・アルゴリズム改善や多要素認証の導入が必要です。
Q3: 職場での運用上の注意点は？
A3: 実際の誤認率を測り、許容できるFRR/FARの目標値を規程に明記します。加えて、本人が使えない場合の代替認証手順（ヘルプデスク対応や緊急解除手順）も用意してください。
A3: 実際の誤認率を測り、許容できるFRR/FARの目標値を規程に明記します。加えて、本人が使えない場合の代替認証手順（ヘルプデスク対応や緊急解除手順）も用意してください。
関連キーワード: FRR、FAR、生体認証、認証しきい値、トレードオフ、ROC曲線、EER、多要素認証、偽受入、偽拒否、セキュリティポリシー
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！