物識別技術發展方興未艾，已經為我們生活的方方面面提供了便利，也為很多新產品的出現提供了無限可能。但是，在金融支付領域，由于其行業自身的高敏感性，對于新興技術帶來的新方案總是先天帶有審慎態度，因此普遍還處于嘗試階段。

為了更好地利用生物識別技術，對支付行業進行正向賦能，本文簡要對生物識別的特點，以及與支付行業之間的關系進行分析，并根據分析，對后續生物識別在支付領域中的發展方向提出相關建議。

生物識別技術的發展狀況

生物識別技術經過多年的發展，特別是隨著半導體與人工智能領域的飛速發展，已經大大提高了識別速度和準確性，從特定行業的少數場景應用，發展到了在各類消費級產品之中廣為應用。

生物識別技術類別及其應用、成熟度

一是指紋。指紋識別技術是現在使用最廣泛，成熟度最高的生物識別技術之一。從早期的軍事、公安偵查、政務等領域，到安全保障等民用領域，隨著方案進步、成本降低，又廣泛被應用到手機等消費級電子產品中。可用于設備解鎖、用戶登錄、敏感操作認證等場景中。其特征是準確率高，但需要識別對象有專門的配合動作，并且信息采集難度高，基本屬于私密信息。

二是人臉識別。人臉識別目前應用場景不多，早期人臉識別主要用于密集人群中的人數測定、人像攝影時輔助對焦等場景，只需要識別出“是人臉”，而不必分辨出“是誰”;但隨著大數據和人工智能等技術的發展，其識別準確率也日漸成熟，如門禁與考勤識別，銀行、電信、公安、海關等實名驗證，逃犯追捕等諸多場景中。其特征是無需識別對象主動配合，信息采集難度低，個人的人臉信息可被隨意獲取，基本不是私密信息。而識別準確率目前在特定情況下也能達到指紋識別相同水準。

三是其它生物識別技術。首先是虹膜，具有高準確率，信息采集難度高等特點，一般應用于國家安全、軍事設施特別敏感的門禁或權限管理場合;其實是聲紋，與人臉識別類似，準確率相對較低，采集難度和私密性很低，而且驗證過程很容易被盜取。一般只能作為輔助性驗證手段，在某些特殊場合應用;再次是基因：準確率最高，但是單次驗證所需時間長，采集難度又相對較低。目前一般只用于遺體的檢測識別，或極高敏感度的身份識別應用場合。

總的來看，由于生物特征信息與生俱來，難以更改的特性，因此普遍適用于身份識別適用的場合，如考勤、門禁、實名、權限管理等（表1）。但由于不同類型的生物特征具有迥異的特點，例如人臉、聲紋等由于私密性相對較低、采集相對較容易，便不適于單獨作為驗證依據。而附加其他驗證方式又會延長驗證時間，因此在使用頻度高的敏感場景中的應用將會受到限制。

目前全球范圍內主流的生物識別標準及認證有：

一是微軟和谷歌認證。微軟和谷歌共同制定了生物識別認證器的認證標準，也是在FIDO發布相關認證項目之前，長期以來唯一在進行中的生物識別認證項目。雖然該認證所執行的標準并不低（要求FAR 1：50000），但其并沒有規定實驗室的驗證過程，僅僅是依賴相關產品供應商的自我證明即可頒發認證證書。而由于某些供應商在自我證明過程中多有變通，因此其權威性飽受質疑。

二是FIDO認證以及GP配套認證。2018年9月，FIDO推出了生物識別認證項目，包括安全部分與生物識別性能部分。隨后在12月GP推出了相關聯的生物識別TEE標準，符合該TEE標準，或FIDO認可的其它TEE、SE認證的設備或元件將可獲得更高的FIDO生物識別安全等級。FIDO生物識別認證是目前標準最高、流程最嚴格、最具權威性的認證標準之一。目前通過該認證的有三星S10、S10+等型號設備。

三是ISO標準。ISO中與生物特征識別相關的分委員會，最主要的有生物特征識別分委會（ISO/IEC JTC1/SC37）和信息安全技術分委（ISO/IEC JTC1/SC27）。其中，ISO/IEC JTC1/SC37主要聚焦于生物特征識別系統和應用之間的互操作性和數據交換等標準化問題。目前已發布相關標準121項，在研30項。ISO/IECJTC1/SC27主要負責生物特征識別安全相關的標準化問題，如生物特征隱私信息保護，生物特征識別安全測試和評估等。此外，在金融服務技術委員會（ISO/TC68）和個人識別卡與安全設備分委會（ISO/IEC JTC1/SC17）也制定了一些與生物特征識別相關的標準，如生物識別安全框架、將集成了生物特征識別技術的智能卡用于個人標識的技術規范等。ISO的組織特點是僅制定功能標準和檢測評估標準，并不提供統一認證。

四是ITU標準。ITU與生物特征識別標準相關的主要是ITU-T SG17安全標準工作組下設的Q9和Q10與生物特征識別技術相關。Q9主要關注在通信應用環境中應用生物特征識別及其標準化工作。隨著生物特征識別技術在電子商務、電子健康和移動支付領域中的廣泛應用，該工作組同樣關注生物特征數據的隱私保護、可靠性和安全性等方面的各種挑戰。Q10關注身份管理架構和機制，部分標準項目與基于生物特征識別身份認證相關。

五是國家標準。國家標準體系，一般與ISO對標制定。其中：TC68下屬的ISO 19092:2008金融服務生物特征識別安全框架，該標準目前已經修改采用為國家標準GB/T 27912-2011，主要規定了金融業使用生物特征識別鑒別人員身份的基本安全框架，描述了生物特征識別的主要技術類型并初步闡述了應用時需考慮的問題。JTC1/SC17下屬的ISO/IEC 7816-11:2017通過生物特征識別的身份驗證卡，該標準已經被信標委列為計劃中開發的標準，國家標準計劃號為：20161262-T-469。

中國目前從以下幾個角度來進行生物識別技術的規范化：

國家標準。主要包括前一節提到的生物識別安全標準、生物識別身份驗證卡標準，以及GB/T 35273—2017信息安全技術個人信息安全規范等等。此外還有尚在制定當中的生物識別技術性系列標準。但以上均屬于推薦性標準，企業可自行決定是否遵循，尚無強制性的法規要求必須遵守以上標準。

《網絡安全法》中，將公民個人生物識別信息納入“個人信息”定義之中，所有個人信息均受到相關法律的保護;

《征信業管理條例》中，指紋信息被明確列為禁止征信機構采集的個人信息，而其他機構能否采集個人信息目前沒有明確規定。

《民法通則》中對公民的肖像權予以保護，但人臉識別設備的行為是否屬于肖像制作，人臉識別應用是否屬于肖像應用尚未明確。

此外，《個人信息保護法》《數據安全法》等專項法律已經列入全國人大立法計劃中。

歐盟。歐盟在2018年5月25日發布了GDPR，即《一般數據保護條例》，取代了之前的DPD，即《數據保護指令》。其內容與我國的國家標準GB/T 35273—2017信息安全技術個人信息安全規范有重疊部分，對信息、數據保護對象，信息、數據的采集，保存，使用，轉移等方面做出了具體規定。其中，明確將個人生物識別數據規定為個人數據加以保護。

但上面提到的中、歐二者有著最本質的區別，即我國國標為推薦性標準，只有企業自己聲程遵循該標準才具備法律約束性。而GDPR為正式法律，具有強制執行力，且GDPR無需歐盟成員國單獨采用，而是全部成員國適用。

此外，GDPR的要求標準也更加具體、更加嚴格。對于企業等實體的相關管理制度也做出規定。且其中對于違法后的處罰也做了明確規定，相比我國相關法律其處罰措施要更加嚴厲。

但是GDPR中也明確指出，成員國不得以保護自然人的個人數據處理為由限制或禁止個人數據在歐盟內部的自由流動。也體現了“合法獲取”的同時也要盡可能“合理利用”的立法原則。

美國。美國對個人信息保護無專門的國家法，只有部分部門法律（相當于我國部門規章）以及州法律（基本相當于我國地方性法規）與個人信息保護相關，主要有：《隱私權法》或稱《私生活秘密法》。法律主要約束對象是美國聯邦級別的行政機關對個人信息的采集和使用等行為;FTC ACT《聯邦貿易委員會法》是一部消費者保護法案，但也用來監管線上或線上消費者隱私和數據安全問題;加州出臺了《加州通訊隱私法》保護用戶隱私。

總的說來，美國對個人隱私或數據保護并不嚴格，主要指針對某一行業或某些特定人群有所約束。而面向互聯網等新興產業所出現的隱私問題則相對缺失，只能依靠非強制性質的行業自律文件來管理約束。因此，這也導致近年來發生數起互聯網公司大規模用戶信息泄露事件。

但美國的立法工作也在不斷補充完善中，2018年加州亦通過了《消費者隱私法案》，該法案除了對個人及家庭的隱私數據的范圍和保護政策，還同時開辟了一條“財務激勵計劃”，允許企業付出一定的費用來從本人獲取隱私數據，給個人信息賦予了商業屬性。這與歐盟GDPR的“合理利用”精神也是異曲同工。

其它國家。一是日本，頒布有《個人信息保護法》對個人信息加以保護，有如下幾個特殊點：首先是該法律并非為保護公民權利而制定，而是規定了要如何處理個人信息，禁止哪些行為等，因此一旦有新的侵權行為出現，該法律則無法進行保護;其實是該法律僅針對政府、企事業單位的行為加以約束;最后是沒有明確保護的個人信息類型，定義較模糊。因此，日本在生物特征保護的監管領域并沒有強力的約束。二是加拿大，頒布有《隱私法》和《個人信息保護與電子文件法》，分別針對政府部門、機構和私營部門設定的個人信息保護;三是俄羅斯：相關法律主要強調個人信息必須存儲在境內服務器，而個人信息的采集、使用行為的監管政策目前暫未出臺。

總的來看，第一，除歐盟外，其他國家對于生物識別數據的收集與使用普遍缺乏專門立法支持，尚未將個人信息作為專門的保護對象，或未明確將生物識別信息納入個人信息范疇;第二，已有的相關法律，部分國家立法目的為使個人信息更加可控。如，賦予政府機關收集個人信息的權力、監控個人通信記錄與網絡行為記錄、對個人信息存儲地點提出要求等;第三，而部分國家的政府機構本身已有足夠權力對個人信息進行把控，因此立法目的側重于保護個人隱私，限制政府權限;第四，對于高敏感性的個人信息數據，各國的普遍趨勢是立法或準備立法給予保護，其主要原則也大致圍繞著本人同意、必要性、用途限定、妥善保存、不轉移擴散等來進行規定（表2）。

生物識別在支付領域的應用

其一，以生物識別用于持卡人驗證

CVM。生物識別作為銀行卡交易的CVM并沒有在市場上廣泛使用，但理論上是可行的，并且有少量試點。例如，帶指紋識別功能的銀行卡利用指紋驗證來代替脫機密碼驗證，人臉識別驗證來代替聯機密碼驗證等。未來發展情況尚不確定，主要由于生物識別的輸入設備普及度較低，輸入流程沒有被市場普遍接納，并且生物識別本質上屬于“模糊識別”與密碼驗證等確定性高的識別方式之間的替代性尚需論證與實踐檢驗。

CDCVM。CDCVM是隨著智能電子設備（最典型如智能手機）的發展，逐漸成為支付載體之后產生的新的驗證方式。持卡人使用自備的智能手機來完成自己的身份驗證，可使用手機支持的密碼、指紋、手勢等各種驗證方式，進而進行支付。CDCVM本質上來說是對脫機密碼驗證的擴展，不同點是驗證執行者從使用銀行定制發行的銀行卡或其他專門支付載體，轉移到了用戶自行購買的設備，并且擴大了驗證形式的種類。但用戶自有設備的準確率和安全性能否達到金融應用的要求，目前還沒有專門的標準進行要求。

3DS。生物識別在線上支付交易中可以發揮更加廣泛的應用，與3DS配合，可以作為線上支付中的重要驗證方式，為發卡行提供更加準確有效的風控手段（圖1）。

其二，以生物識別用于賬戶識別

在使用生物識別特征識別出用戶賬戶后，使用附加身份驗證方法進行附加身份驗證，如預留問題、隨機歷史交易問題、支付密碼、第二生物識別方法等;可防止假冒生物特征識別通過或者生物特征識別賬戶有誤的情況下發生交易風險（圖2）。

其三，All in與準All in模式。All in模式，是在支付過程中，用戶除了展示并提交自己的生物識別信息外，無需任何額外的憑證即可完成支付。例如，指付通，商戶測僅有一個指紋采集設備，用戶使用注冊過的手指進行采集，并與預先留存在支付服務上后臺的指紋特征進行比對驗證，驗證通過后即使用預先綁定的銀行卡進行支付，無需其他驗證。All in模式是根據單一的生物特征數據來完成用戶賬戶識別以及身份驗證兩項工作，極大方便了用戶的支付流程，但是相比傳統銀行卡交易明顯提高了風險。

準All in模式，則使用生物識別結合其他信息共同完成賬戶識別以及用戶身份驗證兩項工作，如在進行生物特征采集的同時，提交手機號碼（或手機號碼片段），可提高賬戶識別的準確率以及用戶身份驗證的準確率。

其四，以生物識別用于純交易開關。純開關模式，是指傳統的銀行卡交易流程并不發生任何變化，只是將生物識別驗證過程作為交易流程中新增的一個額外環節。例如，手機NFC刷卡交易，使用生物識別驗證來開啟NFC卡模擬功能;或者指紋識別卡交易，要通過指紋識別后才開啟對銀行卡安全芯片的供電等。在純開關模式下，無論是商戶受理機具、收單系統、轉接系統、發卡行交易授權系統均完全與普通銀行卡交易兼容，無需任何改造;但是同時所有相關系統也無法獲得具體的驗證信息。

其五，生物特征對比的兩類主要形式。以上幾類應用方式亦可分為兩大類（圖3）：CDCVM、以替代脫機密碼的CVM等，均采用在用戶持有的設備上與預先留存的生物特征數據進行對比，而替代聯機密碼的CVM以及互聯網支付領域等應用場合，均采用了將生物特征數據聯網上傳至服務器，并在服務器上與事先留存的生物特征數據進行對比。以上兩種技術方案權且稱之為“本地對比”與“服務端對比”。

其中，用戶事先留存的生物特征數據，在“本地對比”方案中保存在用戶自有設備或用戶從發卡機構領用的專門設備上，因此只要相關設備保存得當，不存在生物特征被收集以及泄漏的可能。而“服務端對比”方案中，則存在用戶生物特征數據被采集、集中，從而泄漏或被非法利用的風險。

其六，既有案例。一是Apple Pay。在2013、2017兩年，美國手機制造商蘋果公司分別在手機產品中首次加入了指紋識別與面部識別兩種生物識別功能，用于對手機使用者進行驗證。而在2014年推出的手機支付產品Apple Pay中，便采用了生物識別方式來獲取支付權限的設計方案，保持至今。Apple Pay一經推出，就很快得到了中國銀聯、Visa、萬事達、美國運通等國際卡組織的合作響應，在全球多個國家與地區展開業務。此舉引領了手機設計的潮流，其他手機制造商紛紛跟風效仿，而相關的方案、設計、用戶體驗也已經普遍為市場接受。從分類來看，Apple Pay的生物識別應用屬于典型的“本地對比”類型，即使用者將自己的生物特征與預存在自己手機中的生物特征進行對比，根據對比結果來決定是否獲得支付權限。

二是生物識別信用卡。2017年前后，Visa、萬事達、JCB等卡組織在美國、塞浦路斯等部分地區小范圍發行了帶指紋傳感器的芯片信用卡。在插卡或揮卡操作的過程中驗證持卡人的指紋，驗證通過后再進行常規的消費交易流程。該類案例中采用的方案也屬于“本地對比”類型，持卡人的指紋數據預先保存在卡內，從而在交易過程中進行對比驗證。但同時，指紋識別卡由于卡片成本較高，用戶使用習慣并未養成等因素，目前還未普遍發行。僅在需要實名使用的場合下中得以應用。

三是ATM面部識別取現。近年來，國內銀行業Fintech創新發展也方興未艾，商業銀行與生物識別、人工智能、互聯網等科技公司也廣泛合作，推出了生物識別相關的服務項目。最典型的如2015年的招商銀行推出的ATM“刷臉取款”服務，以及建設銀行的語音朗讀驗證碼進行身份校驗等產品方案。此類服務均為預先在銀行的柜臺或客戶端軟件上進行功能申請，并采集、提交本人的生物特征數據，之后在使用時由用戶設備或銀行設備進行生物特征捕捉，上傳后與預先留存的數據進行對比驗證。屬于典型的“服務端對比”。但由于人臉識別在金融機構的現金業務上直接應用理念較為超前，用戶對其技術成熟度、安全性存疑，且具有很高的政策性風險，目前沒有普及。而在境外，尚未有類似報道。

四是園區面部識別消費。園區應用是國內的特色應用，高校、大企業等封閉范圍內的園區之中有獨立的消費體系，有利于提高清算效，免去現金支付的麻煩，同時不必承擔清算手續費用的開銷等優勢。由于園區內部環境封閉、人員穩定、規模有限，因此有個別園區內部消費系統使用了人臉識別支付餐飲消費的技術。該類方案與銀行ATM取款類似，使用專門的受理窗口或網絡軟件集中采集內部使用人群的面部特征，但由于一般來說使用人數多，從數百至上萬不等，且存在人數上限，所以往往將集中采集的生物特征整體下發到消費識別終端上。雖然對比的物理范圍并不在服務器上，但其采集和管理方式均與“服務端對比”相同，只是為了提高交易速度而在終端對比，且并非是在用戶自有設備上對比，因此也屬于“服務端對比”的分支類型。目前該類案例數量也并不多，且大多為預付卡支付體系。在境外未見有報道，且在境外同時還面臨著生物特征采集的法律風險，因此預計不會有大范圍使用。

遠程對比人臉識別的特點及與支付的關系

在生物識別的類型當中，人臉識別隨著人工智能與大數據技術的突飛猛進，有了長足的進步，市場上也有了一些關于將人臉識別用于支付應用的嘗試。但是人臉識別，尤其是遠程對比類型的人臉識別，用于支付是否合適、需要滿足哪些條件，還需要加以深入的分析。

由于本地對比模式的人臉識別技術在各方面與其他本地對比生物識別技術不存在本質區別，因此本章主要討論的范圍限定在遠程對比模式下的人臉識別技術與支付之間的關系。

遠程對比人臉識別的優點

一是無需用戶攜帶專門設備，脫離了卡或手機的載體束縛;二是無需特定動作，不必插卡、刷手機、伸出手指等特定動作，對被驗證人的配合程度要求較低;三是從市場角度來考慮，此種支付產品科技感強，更能吸引眼球，更具有轟動效應。

遠程對比人臉識別的缺點

一是人臉1：N模式驗證類型中，大用戶量的識別準確率還相對較低，特別是用戶總量達到一定數量級以上時;

二是做為人臉識別相關應用，識別時所需要的環境光線等條件具有一定要求;

三是使用普通攝像頭即可進行捕捉，設備具有高度普及性，設備成本也日益降低，因此采集和捕捉權限無法有效的加以限制;

四是正因為其采集不需要用戶專門配合，在用戶無感知條件下被非法采集的可能性就更高;

五是照片屬于辦理各類手續的常用提交資料，因此人臉特征信息已經處于半公開化，私密性低;

六是與其它生物識別類型一樣，使用人無法對驗證要素進行定期更改;

七是對驗證速度要求較高的使用場景，往往追求對驗證過程盡力精簡，使得此場景下的驗證準確率進一步降低;

八是目前出現的基于人臉識別的支付方式，由于主要賣點是追求無自有設備參與、無感化等，因此必須使用第三方服務公司預先采集、公共場合終端實時捕捉、公共平臺遠程驗證的方案進行驗證，這對于信息的保護額外增加了要求。與此同時，如果在支付過程中過于追求無感化，也就勢必難以防止消費者對支付行為的抵賴，如為了防止消費者抵賴，一般采用保存交易時的消費者照片的方式，這又直接涉及到侵犯用戶隱私和肖像權等法律障礙;

九是生物信息的采集和使用屬于敏感行為，受各國監管層面的態度影響極大。

國際上對遠程對比人臉支付的態度

目前的境外市場上，對于人臉支付的使用程度遠低于指紋，且幾乎均停留在純開關或CDCVM的應用模式上，未來可能會隨著3DS的推廣而在3DS領域進行應用，但無一例外均遵循了用戶自有設備進行生物特征的采集驗證的原則，并沒有將用戶的生物特征在商戶測設備采集，也沒有將其通過網絡傳輸至服務器進行驗證。經過前期面向境外卡組織的調研與訪談，可以得出其主要的顧慮和風險點，除了以上列出的一些人臉識別的固有特點之外，還有如下幾點：

監管原因。無論是支付業務服務商還是卡組織，要實施人臉特征數據的商戶采集、網絡傳輸、云端比對，必然涉及到個人信息數據的保護問題，這無論在哪種文化背景、哪個國家都屬于敏感話題。根據前面章節的分析，目前世界各國在這方面的基本認識、定位、態度、進展都有比較大的差異。如果冒然進行這方面的規劃甚至采取動作，無論采用怎樣的產品設計方向，未來都會有在監管部門要求下被迫停止業務的風險。

就在今年4月16日，美國舊金山市對《停止秘密監視》條例進行了修訂，明確指出了其立法精神為“人臉識別技術侵害公民權利和公民自由的可能性大大超過了其聲稱的好處;這項技術將加劇種族不公正，并且威脅到我們的生活不受政府持續監視的能力。”這幾乎可以說是即將全面禁止人臉識別軟件，而且將人臉識別與個人隱私、公民自由、種族歧視、政府公權力等多個敏感話題產生了關聯，使相關的任何市場行為都變得極為敏感。因此在此形勢下，積極進行基礎技術儲備，而市場上采取觀望的態度，是比較穩妥的做法。

市場接受度。與中國境內市場不同，歐美主要市場用戶均已習慣于使用信用卡支付環境，對手機掃碼、NFC、無感支付等創新支付形式普遍持有保守的態度，而對于需要向陌生環境提交自己的面部信息等生物特征的支付方式更加會引起一定焦慮感，何況該信息還會在互聯網上進行傳輸和保存。即使推出此類產品，也未必能收到良好的效果，因此最好等待市場教育完成，獲得最佳的市場時機。

來自市場統計，美國市場的EMV遷移進度已經遠落后與中國，且以接觸式IC卡為主;亞馬遜在美國少數城市設立了掃碼進店、無感離店的Amazon Go零售與支付模式體驗店，反響平平，僅為滿足游客獵奇心理的景點而已。

而即使在中國境內市場，對遠程比對的人臉識別的態度也未必是清晰的。目前從已經進行ATM刷臉取款試點的幾個銀行來看，即便試點規模并不大，但已經出現了一些問題，包含了從安全隱患和用戶體驗等多個層面，因此銀行方面的態度也更趨向與保守。同時，一些超市中的自助刷臉付款終端，在使用過程中也受到了冷遇，人們還是更傾向于使用已經習慣的掃碼等功能，不愿在大庭廣眾之下使用刷臉。

人工智能發展

今年1月，互聯網上傳來一個初始令人啼笑皆非，仔細想來卻又憂心忡忡的新聞“谷歌ReCaptcha系統被破解，機器語音驗證準確率高達85%”。谷歌ReCaptcha系統的工作原理為，通過人工智能技術生成不同字母和數字的人工語音，并且設計了不同的年齡、性別、語速等多種類型的聲線來分別朗讀，網民通過傾聽人工語音來辨識出朗讀的字母和數字，填入網頁提交驗證。此機制用于確保網頁操作是真人執行而非程序自動進行。

看上去是一個無懈可擊的機制，但破解的研究人員使用一個意想不到的方法，即同樣使用人工智能技術來進行語音識別（包括使用谷歌自身提供的語音識別服務來進行），進而將朗讀出的語音轉化為字符文本，輸入至網頁提交驗證，來進行網頁操作。這正是印證了“搬起石頭砸自己的腳”的諺語，乍聽似乎僅僅是一個笑談。

但是這個示例卻說明，人工智能其實是具有兩面性的，既能對現實生活中的各種行為和信息進行識別，并轉化為數字化的特征值數據形式;同樣也能將已有的數字化形式的各種特征值數據虛擬還原為現實生活中的行為和信息。而隨著算法進步、計算性能提升，虛擬信息的還原效果就越能夠以假亂真;同時，虛擬還原信息越接近真實信息，對人工智能識別領域所提出的要求就越高;而人工智能識別領域發展的成果，又會反過來用于虛擬信息的還原……二者相互促進，不可能僅僅單方面發展。

聯系到人臉識別技術，一旦在網絡上存儲的生物信息特征值遭到泄漏，采用虛擬信息還原技術，能否用于人臉支付？科技發展如此迅猛，今天看起來可能是天方夜譚，但難保明天就成為了現實。

總而言之，遠程對比的人臉識別技術用于支付還存在諸多缺點，而其帶來的優秀體驗與支付效率的提高又對消費者和支付服務商有著巨大的吸引力。因此只能期待未來通過技術的突破、新技術架構的出現、商業模式的創新，以及配合以嚴格的管理、完善的標準等手段來盡力彌補其缺陷，而目前階段尚不適于大規模應用推廣。

針對生物識別與人臉識別在支付領域發展的建議

明確生物識別技術在支付環節中的定位。傳統的電子化支付流程中需要出示賬戶憑證、持卡人校驗、對支付行為認可等要素。生物識別技術適用于哪一個或幾個要素的替代與強化？如可做為CVM、CDCVM、單一支付和驗證憑證、支付輔助驗證方式等。可通過行業標準的形式將經過論證的可行方案固定下來，避免市場在無限制的情況下隨意發展。而新的方案出現，且同樣論證后證明是可行的，可以在后續更新階段納入行業標準之中。

為不同身份驗證方式分級管理。對于不同的生物識別方式，及其同其他驗證方式的組合驗證模式，建議進行分級管理。對于不同級別的驗證方式類型或者驗證方式組合，分別規定其適用場景和限額等要素。盡可能明確各種生物識別類型以及支付方案的差異性，避免市場上支付產品避重就輕，造成安全性、風險系數等方面的良莠不齊，擾亂發卡行、持卡人、商戶等相關方的分辨力。

通過立法手段規范市場行為。明確生物特征信息的采集、保存、使用、傳播權限，制定相關規范，并強制執行。嚴格要求應用服務提供方根據《網絡安全法》以及《信息安全個人信息安全規范》來執行。并建議制定專門針對于金融支付個人信息安全規范，以行業標準或部門規章的形式發布，配合行政命令強制要求行業內部嚴格執行。在條件成熟的情況下，推動《個人信息安全法》《數據安全法》的立法工作，以法律的形式確立生物特征信息的受保護地位。此外，對于境外公司從事境內公民的生物特征采集和應用領域業務的，需要在立法環節進行更加嚴格的進行管理，以免對國家安全造成危害。

對于遠程對比形式，謹慎進行市場推廣。在各方面條件成熟之前，生物識別支付應僅在有限范圍內試點，不宜大規模推廣。生物識別支付目前在技術準備、市場接納度、商業模式、數據保護，以及相關法律及標準完善等諸方面條件均尚不成熟，特別是假如法律完善之前大規模推廣會對立法工作產生綁架以及干擾。因此目前階段建議僅在特定場景特定范圍內進行小規模試點，做為產品和立法工作提供依據。