Biyometrik PDKS: Yüz Tanıma vs Parmak İzi Teknik Karşılaştırması (ISO/IEC 19794 + NIST FRVT)

Manyetik kart kopyalanabilir, RFID ödünç verilebilir, mobil GPS yanlış konumda imzalanabilir. Biyometri 'kişinin kendisinden ayrılmaz' verisidir — buddy punching (başkası adına giriş) riskini fiziksel olarak kapatır. Buna karşılık özel nitelikli kişisel veri sınıfında (KVKK m.6, GDPR Article 9) yer alır; teknik ve hukuki uyum gereklilikleri normal PDKS'ten katbekat ağırdır. Bkz. PDKS yasal yükümlülükler rehberi.

ISO/IEC 19794 ‘Information technology — Biometric data interchange formats' serisi modaliteye göre alt parçalara ayrılır: 19794-2 (Finger Minutiae — parmak izi minutia noktaları), 19794-4 (Finger Image — ham parmak izi görüntüsü), 19794-5 (Face Image — yüz görüntüsü), 19794-6 (Iris Image). Standart, biyometrik şablonun cihazlar ve yazılımlar arası taşınabilirliğini sağlar — bir üreticiden çıkıp diğerine geçerken şablonların kullanılabilir kalması bu standart sayesindedir. ISO/IEC 30107 ek olarak ‘presentation attack detection' (PAD — liveness) standardını tanımlar.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) iki bağımsız benchmark yürütür: FRVT (Face Recognition Vendor Test) ve PFT (Proprietary Fingerprint Template) III. FRVT 1:1 verification ve 1:N identification senaryolarında milyon+ kişilik veri setleri üzerinde algoritmaları sıralar. 2024–2025 raporlarında en iyi 10 algoritma 1:1 testte FMR=10⁻⁶ eşiğinde FNMR <%0.5. PFT III testinde modern parmak izi algoritmalarının FMR=10⁻⁵ eşiğinde FNMR <%0.1 düzeyine ulaştığı raporlanmıştır. PDKS yazılımı satın alırken bu raporları kontrol etmek standart pratiktir.

False Accept Rate (FAR / FMR): yetkisiz birinin sisteme kabul edilme olasılığı (güvenlik metriği). False Reject Rate (FRR / FNMR): yetkili birinin reddedilmesi (kullanılabilirlik metriği). FAR ve FRR ters orantılıdır — bir eşik sıkılaştırıldığında diğeri gevşer. Equal Error Rate (EER): FAR = FRR olduğu nokta, sistemin karşılaştırılabilir tek skor metriğidir. PDKS senaryosunda 'low FRR' kritiktir — yetkili işçinin sahaya alınamaması üretim kaybı demektir. Tipik PDKS eşik yapılandırması: FAR=10⁻⁴, FRR <%1.

Avantajları: dokunmasız (hijyen kritik sahalarda — gıda, sağlık, soğuk hava), saniye altı tanıma süresi, maskeli yüzde modern algoritmalar (NIST FRVT MORAN) %95+ doğruluk, kalabalık geçişlerde 'walk-through' modu uygulanabilir. Dezavantajları: aydınlatma + açı + yaş değişkenleri doğruluğa etki eder; ikiz/benzer akraba zorlu vakalar; fotoğraf/video spoofing riskine karşı liveness (ISO/IEC 30107-3) zorunlu; karanlık tene karşı algoritmik yanlılık tarihsel olarak raporlanmıştır (NIST FRVT 'Demographic Effects' 2019). Saha kameraları min. 2 MP, IR + RGB ikiz sensör tercih edilmeli.

Avantajları: ucuz okuyucu donanım maliyeti, çok düşük FAR (NIST PFT III), olgun teknoloji, mahkemelerde kabul edilmiş kanıt değeri. Dezavantajları: temas gerektirir (hijyen, ergonomi), inşaat/imalat/tarım gibi ellerin yıprandığı sahalarda 'failure to enroll' oranı yüksek (saha verisi: %3–10), ıslak/kuru cilt + kir + kesik tanımlamayı bozar. Saha-yoğun şantiyelerde parmak izi tek başına yetersizdir — yüz tanıma veya kart-yedek desteği gerekir.

ISO/IEC 30107-3 'Presentation Attack Detection' (PAD): biyometrik sensörün gerçek kişi mi yoksa fotoğraf/3D maske/silikon parmak gibi sahte sunum mu olduğunu ayırt etme yeteneği. Yüz tanımada: 3D structured light, IR thermal, blink+head movement (active), texture+frequency analysis (passive). Parmak izinde: capacitive + ultrasonic sensör çiftlemesi, kan dolaşımı + nabız tespiti. iBeta laboratuvar sertifikasyonu (Level 1, Level 2) endüstri standardıdır. PDKS satın alırken liveness sertifikası talep edilmelidir.

Kişisel Verileri Koruma Kurulu 'Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber' (2024): (a) ham görüntü (raw biometric) saklanmamalı — sadece geri çevrilemez şablon. (b) Şablon AES-256 ile şifrelenmeli. (c) On-device template (örn. işçinin kartında tutulan şablon, sunucuda yok) tercih edilmeli. (d) Açık rıza yazılı + geri alınabilir + alternatif yöntem sunulmalı. (e) DPIA (Veri Koruma Etki Değerlendirmesi) zorunlu — bkz. GDPR/KVKK ENISA rehberi. Şablon güvenliği için ISO/IEC 24745 'Biometric information protection' başlığı altında 'biometric template protection' (BTP) teknikleri tanımlanır: fuzzy commitment, cancelable biometrics, homomorphic encryption.

(a) Şantiye / hafriyat / dış saha: yüz tanıma + kart yedek (eldivenli el + tozlu parmak izi başarısız). (b) Ofis + beyaz yaka: hibrit (mobil app + masaüstü yüz tanıma) yeterli. (c) Gıda üretimi + hastane: yüz tanıma (dokunmasız, hijyen). (d) Lojistik / depo: parmak izi + kart kombinasyonu maliyet etkin. (e) Çok yüksek güvenlik (banka, savunma): multi-modal (parmak izi + yüz + iris) + canlı operatör doğrulama. KontrolJet PDKSjet bu modaliteleri aynı çatı altında destekler; saha bazında modalite seçimi mümkündür.

Doğru pratiğin 7 adımı: (1) Kayıt (enrollment) — açık rıza + ses kaydı + yazılı belge. (2) Şablon üretimi (template extraction) — cihazda. (3) Şifreleme + saklama (AES-256). (4) Eşleştirme (matching) — eşik 1:1 verification (PDKS girişi). (5) Mesai dışı kapatma (KVKK Kurul önerisi). (6) İstifa/işten ayrılış — şablon kalıcı silme (cryptographic erasure) + log. (7) Yıllık iç denetim raporu. Bu adımların eksik olduğu sistemler denetimde KVKK Kurul cezası riskine açıktır.