In feite heb je in het 'toegangscontrole' proces drie stappen. Identificatie, authenticatie, en tot slot autorisatie. De huidige manier van werken (en bijbehorende theorieën) waren tot nu toe altijd als volgt: Identificatie: je zegt gewoon wie je bent (denk aan een username). Iedereen kan zeggen wie hij is, maar dat is niet echt veilig. Dus de volgende stap is belangrijk: Authenticatie: bewijzen dat je bent wie je zegt. Wachtwoord, pincode, biometrische kenmerken, token, of een combinatie van die dingen (multi-factor authentication). Autorisatie: bepaalt aan de hand van wie je bent waar je mag komen. Maar dat laten we nu even buiten beschouwing. Het punt is dus dat wanneer je biometrische gegevens gebruikt voor authenticatie, en deze gegevens ooit gestolen of misbruikt worden, je deze niet zomaar (of helemaal niet) kunt veranderen. Een wachtwoord kun je aanpassen, een pincode, een pasje, een token, enz, kunnen allemaal gereset worden en zo weer 'veilig' worden gemaakt. Biometrische data, zeker eenmaal ...