Restringir el acceso es una idea abstracta; el mecanismo que lo restringe no tiene por qué serlo.

El Federal Circuit ha declarado que controlar el acceso a recursos, verificar la identidad de una persona y filtrar contenido según sus características son ideas abstractas, y que una reivindicación que recita uno de esos objetivos llevado a cabo por componentes informáticos genéricos no es elegible. El mismo tribunal ha confirmado reivindicaciones relativas a una técnica basada en el comportamiento para identificar código malicioso y al almacenamiento de un registro de verificación en una región concreta de la memoria porque allí es más difícil manipularlo. En todos los casos la materia era la seguridad; la diferencia estaba en si la reivindicación recitaba cómo se logra la protección o solo que se logra.

Las puntuaciones de confianza y las evaluaciones de riesgo están especialmente expuestas, porque una reivindicación que reúne señales, calcula una puntuación y la comunica sigue el patrón de recopilar, analizar y mostrar que el tribunal ha rechazado repetidamente. La memoria descriptiva tiene que presentar las señales como señales técnicas —lo que un dispositivo, una conexión o un sistema de almacenamiento manifiesta realmente— y vincular la puntuación a algo que el sistema pasa a hacer de otra manera: denegar una sesión, poner un archivo en cuarentena, volver a aprovisionar un dispositivo, aislar un nodo. La seguridad es una propiedad de la máquina, y una mejora de esa propiedad puede ser una mejora del propio ordenador, pero solo cuando la reivindicación llega hasta la máquina.

Las invenciones de seguridad suelen construirse con piezas que, por separado, son antiguas: funciones hash, firmas, intercambio de claves, desafío y respuesta, un segundo factor. A un examinador que encuentra cada pieza en una referencia distinta le basta poco más que una razón para combinarlas, y «mejorar la seguridad» se invoca como esa razón con tanta regularidad que puede parecer que justifica añadir cualquier salvaguarda a cualquier sistema. Lo nuevo es la disposición —qué se vincula a qué, qué parte tiene qué clave, el orden en que se ejecutan los pasos— y el ataque que esa disposición cierra.

Ese argumento tiene más fuerza cuando ya figura en la memoria descriptiva antes de que haga falta. Una solicitud que nombra el ataque al que estaba expuesta la disposición anterior —una credencial reutilizada en un ataque de repetición, una identidad de dispositivo clonada, un destino de replicación al que no se le pueden confiar datos en texto claro— y explica por qué la salvaguarda evidente no lo detiene da a la respuesta a un rechazo por obviedad algo que citar en el expediente. Una que describe solo la disposición deja la razón por la que funciona en manos de los argumentos del abogado, que no constituyen prueba, o de una declaración elaborada a posteriori, ya sea ante el examinador o años después ante el Patent Trial and Appeal Board.