Заявлена группа изобретений “Способ и система построения модели угроз безопасности информации информационного ресурса”, совокупность признаков которых изложена в формуле, представленной в материалах заявки на дату ее подачи, в следующей редакции:

“1. Способ построения модели угроз безопасности информации информационного ресурса, включающий следующие шаги:

инициализация профиля информационного ресурса, при этом такой профиль представлен графом знаний, в котором вершины отражают компоненты ресурса, а ребра отражают связи между такими компонентами, причем на шаге инициализации граф профиля содержит единственный корневой элемент, отражающий информационный ресурс;

расширение профиля информационного ресурса путем добавления новых вершин и ребер в его граф знаний в автоматизированном и интерактивном режиме, при этом в автоматизированном режиме сведения о компонентах информационного ресурса получают от автоматических средств сбора данных о компьютерных системах, причем для присвоения названий вершинам и ребрам используют предварительно подготовленную онтологию предметной области построения угроз безопасности информации, содержащую понятия и отношения между ними, стандартизированные для упомянутой предметной области; в интерактивном режиме сведения о компонентах информационного ресурса получают в результате пользовательского ввода на основе анкеты, предоставляемой пользователю и сформированной на основании контекста добавленных ранее вершин, ребер в граф профиля и упомянутой онтологии предметной области, определяющей структуру и состав анкеты;

уточнение профиля информационного ресурса путем классификации компонентов профиля, и/или обогащения профиля, при этом при классификации компонентов в граф профиля добавляют вершины, отражающие классы, к которым относятся компоненты профиля; при обогащении в граф профиля добавляют вершины, отражающие дополнительные сведения о компонентах, добавленных при расширении профиля;

построение модели угроз безопасности информации на основе профиля путем установления отношений между вершинами графа профиля и соответствующими им угрозами и уязвимостями, при этом упомянутые отношения отражены в упомянутой онтологии предметной области или выведены логически, исходя из связей между компонентами и понятиями этой онтологии, причем источником сведений об угрозах и уязвимостях является по меньшей мере одна внешняя база знаний, описывающая угрозы и уязвимости отраженных в графе профиля компонентов информационного ресурса;

преобразование графового представления модели угроз и уязвимостей в заданный формат и вывод пользователю результирующего представления такой модели.

2. Способ по п.1, в котором граф профиля информационного ресурса представлен RDF-графом.

3. Способ по п.1, в котором компоненты информационного ресурса представлены программными и аппаратными компонентами.

4. Способ по п.1, в котором по меньшей мере один компонент информационного ресурса представлен его реальным компонентом.

5. Способ по п.1, в котором по меньшей мере один компонент информационного ресурса представлен его гипотетическим компонентом.

6. Способ по п.1, в котором информационный ресурс состоит по меньшей мере из одного компонента, являющегося ресурсом или частью ресурса, выбранного из следующей группы: информационный актив, объект доступа, информационная инфраструктура, объект информационной инфраструктуры, в том числе, информационно-телекоммуникационная сеть, информационная система, автоматизированная система управления.

7. Система построения модели угроз безопасности информации информационного ресурса, содержащая профиль информационного ресурса, представленный графом знаний, в котором вершины отражают компоненты ресурса, а ребра отражает связи между такими компонентами;

онтологию предметной области, которая содержит понятия и отношения между ними, стандартизированные для упомянутой предметной области, отражает отношения между вершинами графа профиля и соответствующими им угрозами и уязвимостями;

модуль создания и обновления профиля, связанный с модулем взаимодействия с пользователем, модулями обработки данных о структуре информационного ресурса, модулем обработки анкеты расширения профиля и онтологией предметной области построения модели угроз безопасности информации, при этом упомянутые модули обработки данных связаны с модулями сбора данных о структуре информационного ресурса, модуль обработки анкеты связан с модулем построения анкеты расширения профиля, причем анкета формируются на основании контекста, определяемого вершинами и ребрами, добавленными в граф профиля, и онтологии предметной области, определяющей структуру и состав анкеты;

модуль управления классификацией компонентов профиля, связанный с модулями классификации и распознавания компонентов профиля, причем эти модули связаны с соответствующими им модулями доступа к источникам данных о классах компонентов профиля;

модуль обогащения профиля, связанный с графом знаний информационной безопасности, который связан с модулем его построения и обновления, причем этот модуль связан с внешними источниками данных об информационной безопасности, включающими по меньшей мере одну базу знаний, описывающую угрозы и уязвимости, которые отражены в графе профиля компонентов информационного ресурса;

модуль построения модели угроз безопасности информационного ресурса, связанный с модулем логического вывода, позволяющим логически вывести отношения между вершинами графа профиля и угрозами и уязвимостями на основе онтологии предметной области, и модулем вывода модели угроз безопасности, позволяющей вывести пользователю результирующее представление такой модели.

8. Система по п.7, в которой модули сбора данных о структуре информационного ресурса представлены автоматическими средствами сбора данных о компьютерных системах.

9. Система по п.7, в которой внешними источниками данных об информационной безопасности выступают база идентификаторов версий продуктов (CPE), база уязвимостей (CVE), база слабых мест (CWE), база шаблонов атак (CAPEC), банк данных угроз безопасности информации ФСТЭК России.

10. Система по п.7, которая содержит модуль управления построением профиля, управляющий работой модулей системы на основе потока команд.

11. Система по п.7, в которой работа модулей системы инициализируется изменением данных в модулях, с которыми они связаны, и/или изменением данных в профиле информационного ресурса.”

При вынесении решения Роспатента от 11.03.2022 об отказе в выдаче патента на группу изобретений к рассмотрению была принята приведенная выше формула.

В решении Роспатента сделан вывод о том, что заявленная группа изобретений не соответствует условию патентоспособности, предусмотренному пунктом 5 статьи 1350 Кодекса, и не относится к изобретениям. Данный вывод основан на том, что все признаки, которыми заявленная группа изобретений охарактеризована в независимых пунктах 1, 8 формулы, обеспечивают получение результата, не являющегося техническим.

В решении Роспатента, в частности, отмечено, что “заявленное по независимому пункту 1 и по зависимым пунктам 2-6 формулы решение не является изобретением, т.к. независимый пункт 1 формулы относится к “математическим методам”… заявленное по независимому пункту 7 и зависимым пунктам 8-11 формулы решение… относится к “программам для “ЭВМ”…”

На решение об отказе в выдаче патента на изобретение в соответствии с пунктом 3 статьи 1387 указанного выше Кодекса поступило возражение, в котором заявитель выразил несогласие с мотивировкой указанного решения, отметив, в частности, что: “… результат, достигаемый изобретением, касается изменения в работе компьютера, и может быть признан техническим. Помимо этого, достижение результата обусловлено действиями над сигналами (данными) посредством материальных средств.”

В подтверждение своей позиции заявитель ссылается на Руководство по осуществлению административных процедур и действий в рамках предоставления государственной услуги по государственной регистрации изобретения и выдаче патента на изобретение, его дубликата, утвержденные приказом Роспатента от 27 декабря 2018 года № 236 (далее – [1]).

Изучив материалы дела и заслушав участников рассмотрения возражения, коллегия установила следующее.

С учетом даты подачи заявки (29.03.2021) правовая база для оценки патентоспособности заявленной группы изобретений включает Кодекс, Правила составления, подачи и рассмотрения документов, являющихся основанием для совершения юридически значимых действий по государственной регистрации изобретений, и их формы, утвержденные Минэкономразвития от 25.05.2016 № 316 и зарегистрированные в Минюсте РФ 11.07.2016, рег. № 42800 (далее – Правила) и Требования к документам заявки на выдачу патента на изобретение, утвержденные приказом Минэкономразвития от 25.05.2016 № 316 и зарегистрированные в Минюсте РФ 11.07.2016, рег. № 42800 (далее – Требования).

В соответствии с пунктом 1 статьи 1350 Кодекса в качестве изобретения охраняется техническое решение в любой области, относящееся к продукту (в частности, устройству, веществу, штамму микроорганизма, культуре клеток растений или животных) или способу (процессу осуществления действий над материальным объектом с помощью материальных средств), в том числе к применению продукта или способа по определенному назначению.

В соответствии с пунктом 5 статьи 1350 Кодекса не являются изобретениями, в частности:

- научные теории и математические методы;

- программы для ЭВМ;

- решения, заключающиеся только в представлении информации.

В соответствии с настоящим пунктом исключается возможность отнесения этих объектов к изобретениям только в случае, когда заявка на выдачу патента на изобретение касается этих объектов как таковых.

В соответствии с пунктом 2 статьи 1386 Кодекса экспертиза заявки на изобретение по существу включает, в частности, проверку соответствия заявленного изобретения условиям патентоспособности, установленным пунктом 5 статьи 1350 Кодекса.

В соответствии с пунктом 49 Правил проверка соответствия заявленного изобретения условиям патентоспособности, предусмотренным пунктом 5 статьи 1350 Кодекса, включает анализ признаков заявленного изобретения, проблемы, решаемой созданием заявленного изобретения, результата, обеспечиваемого заявленным изобретением, исследование причинно-следственной связи признаков заявленного изобретения и обеспечиваемого им результата, который осуществляется с учетом положений пунктов 35-43 Требований к документам заявки. Заявленное изобретение признается относящимся к объектам, не являющимся изобретениями, указанным в пункте 5 статьи 1350 Кодекса, только в случае, когда заявка касается указанных объектов как таковых. По результатам проверки соответствия заявленного изобретения условиям патентоспособности, предусмотренным пунктом 5 статьи 1350 Кодекса, заявленное изобретение признается относящимся к объектам, не являющимся изобретениями, как таковым в том случае, когда родовое понятие, отражающее назначение изобретения, приведенное в формуле изобретения, или все признаки, которыми заявленное изобретение охарактеризовано в формуле изобретения, являются признаками этих объектов, или все признаки, которыми заявленное изобретение охарактеризовано в формуле изобретения, обеспечивают получение результата, который не является техническим.

В соответствии с пунктом 36 Требований в разделе описания изобретения “Раскрытие сущности изобретения” приводятся сведения, раскрывающие технический результат и сущность изобретения как технического решения, относящегося к продукту или способу, в том числе к применению продукта или способа по определенному назначению, с полнотой, достаточной для его осуществления специалистом в данной области техники, при этом:

- к устройствам относятся изделия, не имеющие составных частей (детали) или состоящие из двух и более частей, соединенных между собой сборочными операциями, находящихся в функционально-конструктивном единстве (сборочные единицы);

- способами являются процессы осуществления действий над материальным объектом с помощью материальных средств;

- сущность изобретения как технического решения выражается в совокупности существенных признаков, достаточной для решения указанной заявителем технической проблемы и получения обеспечиваемого изобретением технического результата;

- признаки относятся к существенным, если они влияют на возможность решения указанной заявителем технической проблемы и получения обеспечиваемого изобретением технического результата, то есть находятся в причинно-следственной связи с указанным результатом;

- к техническим результатам относятся результаты, представляющие собой явление, свойство, а также технический эффект, являющийся следствием явления, свойства, объективно проявляющиеся при осуществлении способа или при изготовлении либо использовании продукта, в том числе при использовании продукта, полученного непосредственно способом, воплощающим изобретение, и, как правило, характеризующиеся физическими, химическими или биологическими параметрами, при этом не считаются техническими результаты, которые, в частности:

- заключаются только в получении информации и достигаются только благодаря применению математического метода, программы для электронной вычислительной машины или используемого в ней алгоритма.

Раздел описания изобретения “Раскрытие сущности изобретения” оформляется, в частности, с учетом следующих правил:

1) должны быть раскрыты все существенные признаки изобретения;

4) если обеспечиваемый изобретением технический результат охарактеризован в виде технического эффекта, следует дополнить его характеристику указанием причинно-следственной связи между совокупностью существенных признаков и обеспечиваемым изобретением техническим эффектом, то есть указать явление, свойство, следствием которого является технический эффект, если они известны заявителю.

В соответствии с пунктом 37 Требований при раскрытии сущности изобретения, относящегося к устройству, применяются следующие правила:

1) для характеристики устройств используются, в частности, следующие признаки:

- наличие одной детали, ее форма, конструктивное выполнение;

- наличие нескольких частей (деталей, компонентов, узлов, блоков), соединенных между собой сборочными операциями, в том числе свинчиванием, сочленением, клепкой, сваркой, пайкой, опрессовкой, развальцовкой, склеиванием, сшивкой, обеспечивающими конструктивное единство и реализацию устройством общего функционального назначения (функциональное единство);

- конструктивное выполнение устройства, характеризуемое наличием и функциональным назначением частей устройства (деталей, компонентов, узлов, блоков), их взаимным расположением;

- параметры и другие характеристики частей устройства (деталей, компонентов, узлов, блоков) и их взаимосвязи;

- материал, из которого выполнены части устройства и (или) устройство в целом;

- среда, выполняющая функцию части устройства.

В соответствии с пунктом 43 Требований при раскрытии сущности изобретения, относящегося к способу, применяются следующие правила:

Для характеристики способов используются, в частности, следующие признаки:

- наличие действия или совокупности действий;

- порядок выполнения действий во времени (последовательно, одновременно, в различных сочетаниях и тому подобное);

- условия осуществления действий; режим; использование веществ (например, исходного сырья, реагентов, катализаторов), устройств (например, приспособлений, инструментов, оборудования), штаммов микроорганизмов, линий клеток растений или животных.

В соответствии с пунктом 46 Требований для подтверждения возможности осуществления изобретения, относящегося к устройству, приводятся следующие сведения:

1) описание конструкции устройства (в статическом состоянии) и его функционирования (работа) или способ использования со ссылками на фигуры, а при необходимости - на иные поясняющие материалы (например, эпюры, временные диаграммы);

2) при описании функционирования (работы) устройства описывается функционирование (работа) устройства в режиме, обеспечивающем при осуществлении изобретения достижение технического результата, приводятся сведения о других результатах, обеспечиваемых изобретением; при использовании в устройстве новых материалов описывается способ их получения.

В соответствии с пунктом 49 Требований для подтверждения возможности осуществления изобретения, относящегося к способу, приводятся следующие сведения:

1) для изобретения, относящегося к способу, в примерах его реализации указываются последовательность действий (приемов, операций) над материальным объектом, а также условия проведения действий, конкретные режимы (температура, давление и тому подобное), используемые при этом материальные средства (например, устройства, вещества, штаммы), если этом необходимо;

2) если способ характеризуется использованием средств, известных до даты приоритета изобретения, достаточно эти средства раскрыть таким образом, чтобы можно было осуществить изобретение. При использовании неизвестных средств приводятся сведения, позволяющие их осуществить, и в случае необходимости прилагается графическое изображение.

В соответствии с пунктом 53 Требований при составлении формулы применяются следующие правила:

3) формула изобретения должна ясно выражать сущность изобретения как технического решения, то есть содержать совокупность существенных признаков, в том числе родовое понятие, отражающее назначение изобретения, достаточную для решения указанной заявителем технической проблемы и получения при осуществлении изобретения технического результата.

Существо заявленной группы изобретений выражено в приведенной выше формуле, которую коллегия принимает к рассмотрению.

Анализ доводов возражения и доводов, содержащихся в решении Роспатента об отказе в выдаче патента, касающихся оценки соответствия заявленной группы изобретений условию патентоспособности, предусмотренному пунктом 5 статьи 1350 Кодекса, показал следующее.

В качестве решения по независимому пункту 1 формулы заявлен способ построения модели угроз безопасности информации информационного ресурса.

В качестве решения по независимому пункту 7 формулы заявлена система построения модели угроз безопасности информации информационного ресурса.

Согласно описанию заявки заявленный способ по независимому пункту 1 включает в себя создание профиля информационного ресурса, при этом такой профиль представлен графом знаний; расширение профиля информационного ресурса путем добавления новых вершин и ребер в его граф знаний в автоматизированном и интерактивном режиме; уточнение профиля информационного ресурса путем классификации компонентов профиля; построение модели угроз безопасности информации на основе профиля путем установления отношений между вершинами графа профиля и соответствующими им угрозами и уязвимостями; преобразование графового представления модели угроз и уязвимостей в заданный формат и вывод пользователю результирующего представления такой модели.

Согласно описанию заявки заявленная система включает в себя профиль информационного ресурса, представленный графом знаний, в котором вершины отражают компоненты ресурса, а ребра отражают связи между компонентами; онтологию предметной области, которая содержит понятия и отношения между ними, стандартизированные для упомянутой предметной области; модуль создания и обновления профиля, модуль взаимодействия с пользователем, модули обработки данных о структуре информационного ресурса, модуль обработки анкеты расширения профиля, модули сбора данных о структуре информационного ресурса, модуль построения анкеты расширения профиля, модуль управления классификацией компонентов профиля, модули классификации и распознавания компонентов профиля, модуль обогащения профиля, модуль построения и обновления графа знаний информационной безопасности, модуль построения модели угроз безопасности информационного ресурса, модуль логического вывода, модуль вывода модели угроз безопасности.

При этом результатом, достигаемым при осуществлении заявленной группы решений, является повышение степени автоматизации процесса моделирования угроз безопасности информации для информационного ресурса.

Как следует из приведенной выше правовой базы, заявленное изобретение признается относящимся к объектам, не являющимся изобретениями как таковыми, в случае, когда:

- родовое понятие, отражающее назначение изобретения, приведенное в формуле изобретения, является признаком этих объектов; или

- все признаки, которыми заявленное изобретение охарактеризовано в формуле изобретения, являются признаками этих объектов; или

- все признаки, которыми заявленное изобретение охарактеризовано в формуле изобретения, обеспечивают получение только такого результата, который не является техническим.

В отношении родового понятия по независимому пункту 1 формулы заявленного решения необходимо отметить следующее.

Как правомерно отмечено в решении Роспатента, из уровня техники известно, что компьютерное моделирование − это процесс математического моделирования, выполняемый на компьютере, который предназначен для прогнозирования поведения или результатов реального мира или физической системы. Поскольку они позволяют проверять надежность выбранных математических моделей, компьютерное моделирование стало полезным инструментом для математического моделирования многих природных систем в физике (вычислительной физике), астрофизике, климатология, химия, биология и производство, а также человеческие системы в экономике, психология, социальные науки, здравоохранение и инженерия. Моделирование системы представлено как запуск модели системы. Его можно использовать для изучения и получения нового представления о новой технологии, а также для оценки производительности систем, слишком сложных для аналитических решений. Компьютерное моделирование реализуется с помощью компьютерных программ это могут быть небольшие программы, выполняемые практически мгновенно на небольших устройствах, или крупномасштабные программы, которые могут выполняться часами или днями на сетевых группах компьютеров (см., в частности, https://ru.wikichi.ru/wiki/Computer_simulation).

Кроме того, математическое моделирование – это идеальное научное знаковое формальное моделирование, при котором описание объекта осуществляется на языке математики, а исследование модели проводится с использованием тех или иных математических методов. (см., в частности, В. А. Штерензон, “МОДЕЛИРОВАНИЕ ТЕХНОЛОГИЧЕСКИХ ПРОЦЕССОВ”, опубл. 2010, 66 стр. <URL: https://www.rsvpu.ru/filedirectory/3468/shterenzon.pdf>; стр. 14).

Таким образом, родовое понятие, характеризующее способ построения модели угроз безопасности информации информационного ресурса прямо позволяет отнести заявленное решение к математическому моделированию, т.е. математическому методу.

При этом признаки, характеризующие заявленное решение по независимому пункту 1 формулы представляют собой последовательное построение математической модели угроз безопасности информации информационного ресурса (создание графа знаний, добавление новых вершин и ребер в граф знаний и т.д.), а следовательно, представляют собой процесс проведения математических операций на основании известных исходных данных.

В заявленном способе при построении модели не реализуется никаких действий над материальным объектом с помощью материальных средств (пункты 43, 49 Требований).

Что касается результата, достигаемого за счет осуществления заявленной группы решений, то здесь необходимо подчеркнуть следующее.

Указанный результат не может быть рассмотрен в качестве технического, т.к. заключается только в получении информации и достигается только благодаря применению математического метода (моделирования) (пункт 36 Требований).

То есть, признаки формулы, которыми охарактеризовано заявленное предложение по независимому пункту 1, обеспечивают получение результата, который не является техническим.

Что касается указания в описании на “повышение степени автоматизации процесса моделирования”, то такое указание характеризует лишь то, что сбор данных о структуре информационного ресурса реализуется автоматическими средствами сбора данных о компьютерных системах на основе специализированного программного обеспечения - сканеров (т.е. инструмента, используемого по своему прямому назначению – для получения и обработки данных о компонентах информационного ресурса).

Таким образом, можно сделать вывод о том, что заявленный способ по независимому пункту 1 формулы характеризует решение, представляющее собой математический метод.

Признаки зависимых пп. 2-6 формулы также не обеспечивают достижение какого-либо технического эффекта, проявляющегося в изменении каких-либо объективных характеристик материальных объектов или характера взаимодействия таких объектов, в связи с чем решения по зависимым пп. 2-6 формулы также не являются техническими.

В отношении заявленной системы построения модели угроз безопасности информации информационного ресурса по независимому пункту 7 формулы необходимо отметить следующее.

Согласно описанию, заявленная система может быть реализована в виде монолитного или многомодульного (сервис-ориентированного) приложения на любом языке программирования общего назначения, включая, но не ограничиваясь Java, C#.

Следовательно, как правомерно отмечено в решении Роспатента, все признаки независимого пункта 7 формулы, характеризующие онтологию предметной области, модуль создания и обновления профиля, модуль управления классификацией компонентов профиля, модуль обогащения профиля и модуль построения модели угроз безопасности информационного ресурса являются программными модулями, т.е. программой ЭВМ.

То есть, признаки независимого пункта 7 формулы раскрывают программу, предназначенную для построения модели угроз безопасности информации информационного ресурса.

При этом, как было отмечено выше, указанные признаки формулы обеспечивают достижение результата, не являющегося техническим.

Признаки зависимых пп. 8-11 формулы также характеризуют собой программу для ЭВМ.

Таким образом, можно согласиться с мнением, изложенным в решении Роспатента, что заявленная группа изобретений по независимым пунктам 1, 7 формулы относится к решениям, не являющимся изобретениями.

При этом сделанный вывод не противоречит сведениям, изложенным в Руководстве [1] и касающимся решений, заключающихся только в представлении информации.

Учитывая вышеизложенное, коллегия пришла к выводу о наличии оснований для принятия Роспатентом следующего решения:

отказать в удовлетворении возражения, поступившего 04.08.2022, решение Роспатента от 11.03.2022 оставить в силе.