アクセスの制限は抽象的アイデアだ。しかし、それを制限する仕組みまでそうである必要はない。

連邦巡回控訴裁判所は、リソースへのアクセスの制御、人物の本人確認、特性に基づくコンテンツのフィルタリングはいずれも抽象的アイデアであり、そうした目的の一つを汎用的なコンピュータ構成要素によって実行すると記載した請求項は特許適格性を欠くと判断してきました。同じ裁判所は一方で、悪意あるコードを識別するための挙動ベースの手法に関する請求項や、改ざんがより困難であるという理由でメモリの特定の領域に検証記録を格納することに関する請求項については、特許適格性を認めています。どの事件でも、対象はセキュリティでした。違いは、請求項が保護をどのように実現するかを記載していたのか、それとも保護が実現されることだけを記載していたのかにありました。

信頼度スコアとリスク評価は、とりわけ無防備です。信号を収集し、スコアを算出し、それを報告する請求項は、同裁判所が繰り返し退けてきた「収集・分析・表示」の型に当てはまるからです。明細書は、それらの信号を技術的な信号として — デバイス、接続、あるいはストレージシステムが実際に示すものとして — 提示し、スコアを、システムがその後に異なる動作をすることに結び付けなければなりません。セッションの拒否、ファイルの隔離、デバイスの再プロビジョニング、ノードの切り離しといった動作です。セキュリティは機械の特性であり、その改良はコンピュータそのものの改良となりえます。ただし、それは請求項が機械にまで届いている場合に限られます。

セキュリティの発明は、通常、個々には古くからある部品から組み立てられています。ハッシュ、署名、鍵交換、チャレンジ・レスポンス、第二要素です。それぞれの部品を別々の引用文献に見いだした審査官に必要なのは、それらを組み合わせる理由くらいのものであり、「セキュリティを向上させるため」という理由があまりに日常的に持ち出されるため、どのようなシステムにどのような安全策を加えることも正当化できるかのように見えてしまいます。新しいのは構成です — 何が何に結び付けられているか、どの当事者がどの鍵を保持しているか、各ステップがどの順序で実行されるか — そして、その構成が塞ぐ攻撃です。

この主張は、必要になる前から明細書に書かれているときにこそ力を持ちます。従来の構成が受けやすかった攻撃 — リプレイされた認証情報、複製されたデバイスの識別情報、平文を預けるには信頼できない複製先 — を名指しし、すぐに思いつく安全策ではなぜそれを防げないのかを説明している出願は、自明性に基づく拒絶への応答に、記録上の引用できる根拠を与えます。構成だけを記載した出願は、それが機能する理由を、証拠ではない代理人の主張か、事後に取りまとめた宣誓書に委ねることになります。それは審査官の前でも、何年も後の特許審判部（PTAB）の前でも同じです。