Toegang beperken is een abstract idee; het mechanisme dat de toegang beperkt, hoeft dat niet te zijn.

Het Federal Circuit heeft geoordeeld dat het regelen van de toegang tot resources, het verifiëren van iemands identiteit en het filteren van inhoud op basis van de kenmerken ervan abstracte ideeën zijn, en dat een conclusie die een van die doelen noemt, uitgevoerd door generieke computercomponenten, niet octrooieerbaar is. Hetzelfde hof heeft conclusies in stand gelaten die waren gericht op een op gedrag gebaseerde techniek voor het identificeren van kwaadaardige code, en op het opslaan van een verificatierecord in een bepaald geheugengebied omdat daar moeilijker mee te knoeien valt. Het onderwerp was in alle gevallen beveiliging; het verschil lag erin of de conclusie noemde hoe de bescherming wordt bereikt, of alleen dat zij wordt bereikt.

Vertrouwensscores en risicobeoordelingen zijn bijzonder kwetsbaar, omdat een conclusie die signalen verzamelt, een score berekent en die rapporteert, het patroon van verzamelen, analyseren en weergeven volgt dat het hof herhaaldelijk heeft afgewezen. De octrooibeschrijving moet de signalen als technische signalen presenteren — wat een apparaat, een verbinding of een opslagsysteem werkelijk vertoont — en de score koppelen aan iets wat het systeem daarna anders doet: een sessie weigeren, een bestand in quarantaine plaatsen, een apparaat opnieuw provisioneren, een knooppunt isoleren. Beveiliging is een eigenschap van de machine, en een verbetering daarvan kan een verbetering van de computer zelf zijn, maar alleen wanneer de conclusie tot de machine reikt.

Beveiligingsuitvindingen zijn meestal opgebouwd uit onderdelen die elk afzonderlijk oud zijn: hashing, handtekeningen, sleuteluitwisseling, challenge-response, een tweede factor. Een octrooionderzoeker die elk onderdeel in een andere publicatie vindt, heeft weinig meer nodig dan een reden om ze te combineren, en “om de beveiliging te verbeteren” wordt zo routinematig als die reden aangevoerd dat het de toevoeging van elke willekeurige beveiligingsmaatregel aan elk willekeurig systeem lijkt te kunnen rechtvaardigen. Nieuw is de configuratie — wat aan wat is gebonden, welke partij welke sleutel bezit, de volgorde waarin de stappen worden doorlopen — en de aanvalsroute die deze configuratie afsluit.

Dat argument staat het sterkst wanneer het al in de octrooibeschrijving staat voordat het nodig is. Een aanvraag die de aanval benoemt waarvoor de eerdere configuratie openstond — een via replay hergebruikt authenticatiegegeven, een gekloonde apparaatidentiteit, een replicatiedoel dat niet met onversleutelde gegevens kan worden vertrouwd — en uitlegt waarom de voor de hand liggende beveiligingsmaatregel die aanval niet tegenhoudt, geeft het antwoord op een afwijzing wegens voor de hand liggendheid iets in het dossier om naar te verwijzen. Een aanvraag die alleen de configuratie beschrijft, laat de reden waarom die werkt over aan het betoog van de gemachtigde, dat geen bewijs is, of aan een achteraf samengestelde verklaring, of dat nu voor de octrooionderzoeker is of jaren later voor de Patent Trial and Appeal Board.