43207里面对这个“宜”的不适用描述，是说不采用密码技术，但风险控制有效时，这个指标可以不适用吗？

43207里面对这个“宜”的不适用描述，是说不采用密码技术，但风险控制有效时，这个指标可以不适用吗？例如，应用层身份鉴别，不采用密码技术，采用短信验证+人脸识别登录系统，这种情况下，身份鉴别可以不适用吗？或者说，还需要哪些替代性风险控制措施，才能让这个指标不适用？