Заявлено изобретение “Автоматизированная система обеспечения информационной безопасности”, совокупность признаков которого изложена в формуле, представленной в корреспонденции, поступившей 05.04.2022, в следующей редакции:

“1. Автоматизированная система обеспечения информационной безопасности, содержащая модуль агрегирования инцидентов информационной безопасности, представленный внутренней или внешней SIEM-системой, содержащей серверы-коллекторы и серверы-корреляторы, и выполненный с возможностью получения событий от подключенных к системе внешних источников событий информационной безопасности, представленными IDS/IPS-системами, содержащий средство краткосрочного хранения событий и средство долгосрочного хранения событий, выполненное с применением технологии Big data, реализованное посредством применения специализированного программного обеспечения с открытым исходным кодом Apache Hadoop, выполненного с возможностью управления распределенными по узлам неструктурированными событиями, хранящимися в файловой системе HDFS, модуль анализа инцидентов информационной безопасности, представленный высокопроизводительной аналитической платформой, состоящей из аппаратной и программной частей, выполненный с применением модели машинного обучения, с возможностью получения инцидентов от модуля агрегирования инцидентов, и определения сценария реагирования на инцидент, модуль реагирования на инциденты информационной безопасности, представленный локальным сервером системы или удаленным сервером и содержащий коннекторы реагирования на инциденты информационной безопасности, такие как Active Directory, ArcSight Logger, CheckPoint, подключенные к внешним системам и устройствам, и выполненный с возможностью получения сценария реагирования на инцидент от модуля анализа инцидента и передачи команд из сценария реагирования на инцидент на подключенные внешние системы и устройства, отличающаяся тем, что содержит модуль предварительной подготовки данных, представленный сервером, выполненным с возможностью обработки аналитических запросов, в которых данные представлены в виде табличных срезов разных измерений исходных неструктурированных данных, хранящихся и обрабатывающихся с использованием средств реляционных баз данных, выполненный с возможностью получения запросов событий по инциденту от модуля анализа инцидентов и передачи запросов по инциденту в модуль агрегирования инцидентов, и выполненный с возможностью получения событий по инциденту от модуля агрегирования инцидентов, и передачи событий по инциденту в модуль анализа инцидентов.

2. Автоматизированная система по п.1, отличающаяся тем, что средство краткосрочного хранения событий выполнено с возможностью хранения событий в промежутке времени, составляющем до нескольких недель.

3. Автоматизированная система по п.1, отличающаяся тем, что средство долгосрочного хранения событий выполнено с возможностью хранения событий до 5 лет и более.

4. Автоматизированная система по п.1, отличающаяся тем, что сценарий реагирования на инцидент представлен в виде карточки рабочего процесса с полями, в которые введены триггеры запуска.

5. Автоматизированная система по п.1, отличающаяся тем, что модуль анализа инцидентов содержит конструктор сценариев реагирования на инциденты, который для пользователя представлен посредством графического интерфейса в виде блок-схемы.

6. Автоматизированная система по п.1, отличающаяся тем, что модуль анализа инцидентов содержит средство расчета рисков в связи с возникновением инцидента.

7. Автоматизированная система по п.1, отличающаяся тем, что модуль предварительной подготовки данных выполнен с возможностью использования реляционных баз данных Microsoft SQL Server и/или PostgreSQL.

8. Автоматизированная система по п.1, отличающаяся тем, что модуль реагирования на инциденты содержит средство управления коннекторами реагирования на инциденты информационной безопасности, включающий конструктор коннекторов реагирования.

9. Автоматизированная система по п.1, отличающаяся тем, что модуль реагирования на инциденты содержит конструктор процессов реагирования на инциденты, представленный для пользователя в виде графического редактора с ручными и/или автоматическими транзакциями.”

При вынесении решения Роспатента от 31.05.2022 об отказе в выдаче патента на изобретение к рассмотрению была принята приведенная выше формула.

По результатам рассмотрения Роспатент 31.05.2022 принял решение об отказе в выдаче патента из-за несоответствия материалов заявки требованию раскрытия сущности изобретения с полнотой, достаточной для осуществления изобретения специалистом в данной области техники (подпункт 2 пункт 2 статьи 1375 Кодекса).

В решении Роспатента, в частности, отмечено, что из материалов заявки не следует, по каким алгоритмам в заявленном решении осуществляется предварительная подготовка данных, обработка аналитических запросов, представление данных запросов в виде табличных срезов разных измерений из исходных неструктурированных данных, и, следовательно, в описании не раскрывается, как может быть осуществлено заявленное решение (пункт 45 Требований).

Кроме того, в решении Роспатента указано, что в описании заявки не содержится сведений, раскрывающих совокупность существенных признаков, находящихся в причинно-следственной связи с результатом, указанным в описании заявки (повышение скорости реагирования на инциденты информационной безопасности модулем реагирования), и с результатом, представленным в дополнительных материалах (обеспечение информационной безопасности) (пункт 36 Требований).

На решение об отказе в выдаче патента в соответствии с пунктом 3 статьи 1387 Кодекса поступило возражение, в котором заявитель выразил несогласие с данным решением, подчеркивая, что: “Совокупность существенных признаков скорректированного независимого пункта 1 формулы обеспечивает достижение изобретением технического результата, заключающегося в обеспечении информационной безопасности, при технической проблеме, заключающейся в расширении арсенала автоматизированных систем обеспечения информационной безопасности.” При этом с возражением представлены скорректированная формула и скорректированное описание заявленного изобретения.

В корреспонденции, поступившей 10.02.2023 по электронной почте, представлена скорректированная формула и интернет-распечатка с сайта https://habr.com/ru/post/126810/, опубл. 22.08.2011 (далее – [1]).

В корреспонденции, поступившей 17.03.2023, представлены дополнительные материалы к возражению (приведен пример осуществления, описывающий функционирование модуля предварительной подготовки данных).

Изучив материалы дела и заслушав участников рассмотрения возражения, коллегия установила следующее.

С учетом даты подачи заявки (15.10.2019), правовая база для оценки патентоспособности заявленного изобретения включает Кодекс, Правила составления, подачи и рассмотрения документов, являющихся основанием для совершения юридически значимых действий по государственной регистрации изобретений, и их формы, утвержденные Минэкономразвития от 25.05.2016 № 316 и зарегистрированные в Минюсте РФ 11.07.2016, рег. № 42800 (далее – Правила) и Требования к документам заявки на выдачу патента на изобретение, утвержденные приказом Минэкономразвития от 25.05.2016 № 316 и зарегистрированные в Минюсте РФ 11.07.2016, рег. № 42800 (далее – Требования).

В соответствии с подпунктом 2 пункта 2 статьи 1375 Кодекса заявка на изобретение должна содержать описание изобретения, раскрывающее его сущность с полнотой, достаточной для осуществления изобретения специалистом в данной области техники.

В соответствии с подпунктом 3 пункта 2 статьи 1375 Кодекса заявка на изобретение должна содержать формулу изобретения, ясно выражающую его сущность и полностью основанную на его описании.

В соответствии с подпунктом 4 пункта 2 статьи 1375 Кодекса заявка на изобретение должна содержать чертежи и иные материалы, если они необходимы для понимания сущности изобретения.

В соответствии с пунктом 2 статьи 1386 Кодекса экспертиза заявки на изобретение по существу включает, в частности:

проверку достаточности раскрытия сущности заявленного изобретения в документах заявки, представленных на дату ее подачи, для осуществления изобретения специалистом в данной области техники.

В соответствии с пунктом 53 Правил при проверке достаточности раскрытия сущности заявленного изобретения в документах заявки, представленных на дату ее подачи, для осуществления изобретения специалистом в данной области техники проверяется, содержатся ли в документах заявки, представленных на дату ее подачи, сведения о назначении изобретения, о техническом результате, обеспечиваемом изобретением, раскрыта ли совокупность существенных признаков, необходимых для достижения указанного заявителем технического результата, а также соблюдены ли установленные пунктами 36-43, 45-50 Требований к документам заявки правила, применяемые при раскрытии сущности изобретения и раскрытии сведений о возможности осуществления изобретения.

В соответствии с пунктом 36 Требований в разделе описания изобретения “Раскрытие сущности изобретения” приводятся сведения, раскрывающие технический результат и сущность изобретения как технического решения, относящегося к продукту или способу, в том числе к применению продукта или способа по определенному назначению, с полнотой, достаточной для его осуществления специалистом в данной области техники, при этом:

- к устройствам относятся изделия, не имеющие составных частей (детали) или состоящие из двух и более частей, соединенных между собой сборочными операциями, находящихся в функционально-конструктивном единстве (сборочные единицы);

- к комплексу относятся два и более специфицированных изделия, не соединенных на предприятии-изготовителе сборочными операциями, но предназначенных для выполнения взаимосвязанных эксплуатационных функций, например производственные линии, электрические и компьютерные сети, корабли;

- к комплекту относятся два и более изделия, не соединенных сборочными операциями и представляющих набор изделий, имеющих общее эксплуатационное назначение;

- сущность изобретения как технического решения выражается в совокупности существенных признаков, достаточной для решения указанной заявителем технической проблемы и получения обеспечиваемого изобретением технического результата;

- признаки относятся к существенным, если они влияют на возможность решения указанной заявителем технической проблемы и получения обеспечиваемого изобретением технического результата, то есть находятся в причинно-следственной связи с указанным результатом;

- под специалистом в данной области техники понимается гипотетической лицо, имеющее доступ ко всему уровню техники и обладающее общими знаниями в данной области техники, основанными на информации, содержащейся в справочниках, монографиях и учебниках;

- к техническим результатам относятся результаты, представляющие собой явление, свойство, а также технический эффект, являющийся следствием явления, свойства, объективно проявляющиеся при осуществлении способа или при изготовлении либо использовании продукта, в том числе при использовании продукта, полученного непосредственно способом, воплощающим изобретение, и, как правило, характеризующиеся физическими, химическими или биологическими параметрами.

Раздел описания изобретения “Раскрытие сущности изобретения” оформляется, в частности, с учетом следующих правил:

1) должны быть раскрыты все существенные признаки изобретения;

4) если обеспечиваемый изобретением технический результат охарактеризован в виде технического эффекта, следует дополнить его характеристику указанием причинно-следственной связи между совокупностью существенных признаков и обеспечиваемым изобретением техническим эффектом, то есть указать явление, свойство, следствием которого является технический эффект, если они известны заявителю.

В соответствии с пунктом 37 Требований при раскрытии сущности изобретения, относящегося к устройству, применяются следующие правила:

1) для характеристики устройств используются, в частности, следующие признаки:

- наличие одной детали, ее форма, конструктивное выполнение;

- наличие нескольких частей (деталей, компонентов, узлов, блоков), соединенных между собой сборочными операциями, в том числе свинчиванием, сочленением, клепкой, сваркой, пайкой, опрессовкой, развальцовкой, склеиванием, сшивкой, обеспечивающими конструктивное единство и реализацию устройством общего функционального назначения (функциональное единство);

- конструктивное выполнение устройства, характеризуемое наличием и функциональным назначением частей устройства (деталей, компонентов, узлов, блоков), их взаимным расположением;

- параметры и другие характеристики частей устройства (деталей, компонентов, узлов, блоков) и их взаимосвязи;

- материал, из которого выполнены части устройства и (или) устройство в целом;

- среда, выполняющая функцию части устройства.

В соответствии с пунктом 45 Требований в разделе описания изобретения “Осуществление изобретения” приводятся сведения, раскрывающие, как может быть осуществлено изобретение с реализацией указанного заявителем назначения изобретения и с подтверждением возможности достижения технического результата при осуществлении изобретения путем приведения детального описания, по крайней мере одного примера осуществления изобретения со ссылками на графические материалы, если они представлены.

Раздел описания изобретения “Осуществление изобретения” оформляется с учетом следующих правил:

1) для изобретения, сущность которого характеризуется с использованием признака, выраженного общим понятием, в том числе представленного на уровне функционального обобщения, свойства, описывается, как можно осуществить изобретение с реализацией изобретением указанного назначения на примерах при использовании частных форм реализации признака, в том числе описывается средство для реализации такого признака или методы его получения, либо указывается на известность такого средства или методов его получения до даты подачи заявки.

Если метод получения средства для реализации признака изобретения основан на неизвестных из уровня техники процессах, приводятся сведения, раскрывающие возможность осуществления этих процессов;

2) если изобретение охарактеризовано в формуле изобретения с использованием существенного признака, выраженного общим понятием, охватывающим разные частные формы реализации существенного признака, либо выраженного на уровне функции, свойства, должна быть обоснована правомерность использованной заявителем степени обобщения при раскрытии существенного признака изобретения путем представления сведений о частных формах реализации этого существенного признака, а также должно быть представлено достаточное количество примеров осуществления изобретения, подтверждающих возможность получения указанного заявителем технического результата при использовании частных форм реализации существенного признака изобретения.

В разделе описания изобретения “Осуществление изобретения” также приводятся сведения, подтверждающие возможность получения при осуществлении изобретения технического результата. В качестве таких сведений приводятся объективные данные, например, полученные в результате проведения эксперимента, испытаний или оценок, принятых в той области техники, к которой относится изобретение, или теоретические обоснования, основанные на научных знаниях.

В соответствии с пунктом 46 Требований для подтверждения возможности осуществления изобретения, относящегося к устройству, приводятся следующие сведения:

1) описание конструкции устройства (в статическом состоянии) и его функционирования (работа) или способ использования со ссылками на фигуры, а при необходимости - на иные поясняющие материалы (например, эпюры, временные диаграммы);

2) при описании функционирования (работы) устройства описывается функционирование (работа) устройства в режиме, обеспечивающем при осуществлении изобретения достижение технического результата, приводятся сведения о других результатах, обеспечиваемых изобретением; при использовании в устройстве новых материалов описывается способ их получения;

3) если устройство содержит элемент, охарактеризованный на функциональном уровне, и описываемая форма реализации предполагает использование программируемого (настраиваемого) многофункционального средства, представляются сведения, подтверждающие возможность выполнения таким средством конкретной предписываемой ему в составе данного устройства функции; в случае если в числе таких сведений приводится алгоритм, в частности вычислительный, его предпочтительно представлять в виде блок-схемы или, если это возможно, соответствующего математического выражения.

В соответствии с пунктом 53 Требований при составлении формулы применяются, в частности, следующие правила:

3) формула изобретения должна ясно выражать сущность изобретения как технического решения, то есть содержать совокупность существенных признаков, в том числе родовое понятие, отражающее назначение изобретения, достаточную для решения указанной заявителем технической проблемы и получения при осуществлении изобретения технического результата.

Существо заявленного изобретения выражено в приведенной выше формуле, которую коллегия принимает к рассмотрению.

Анализ доводов возражения и доводов, содержащихся в решении Роспатента, показал следующее.

В качестве родового понятия в формуле указано – автоматизированная система обеспечения информационной безопасности. Таким образом, в материалах заявки содержатся сведения о назначении изобретения.

Согласно описанию заявки, техническим результатом предложенного изобретения является “повышение скорости реагирования на инциденты информационной безопасности модулем реагирования”, что, в свою очередь “повышает эффективность автоматизированной системы обеспечения информационной безопасности”.

На стадии проведения экспертизы по существу (в корреспонденции, поступившей 05.04.2022) заявителем было предложено рассматривать в качестве технического результата “реализацию автоматизированной системой обеспечения информационной безопасности ее назначения” (сведения о новом техническом результате в скорректированное описание включены не были, вместе с тем, данный результат был принят во внимание экспертизой и рассмотрен в решении Роспатента).

В отношении результата, заключающегося в “повышении скорости реагирования на инциденты информационной безопасности модулем реагирования”, необходимо подчеркнуть следующее.

Как указано в описании заявки, недостатком ближайшего аналога (автоматизированной системы обеспечения информационной безопасности, раскрытой в патентном документе US 2017063896, опубл. 02.03.2017) является “недостаточно высокая скорость автоматического реагирования на инциденты информационной безопасности модулем реагирования на инциденты из-за недостаточно высокой скорости автоматического определения сценария реагирования на инцидент моделью машинного обучения. Указанный недостаток обусловлен низкой скоростью обработки аналитических запросов событий по инциденту, поступающих от модуля анализа данных, SIEM-системой, в частности ее системами управления базами краткосрочного и долгосрочного хранения событий, которые недостаточно быстро обрабатывают аналитические запросы от модуля анализа данных, и значительно замедляют начало поиска событий по инциденту в базах хранения событий SIEM-системы. Также указанный недостаток обусловлен еще и тем, что при обнаружении системой управления базами данных SIEM-системы нужных событий по аналитическому запросу, они выгружаются из файловой службы Hadoop в модуль анализа данных в виде неструктурированных массивов данных, что в дальнейшем усложняет оптимизацию фиксирования повторяющихся событий и затрудняет индексирование событий моделью машинного обучения, что увеличивает загруженность модуля анализа данных и увеличивает длительность выстраивания команд в сценарии реагирования на инцидент моделью машинного обучения, что в конечном итоге приводит к значительному увеличению времени создания сценария реагирования на инцидент модулем анализа инцидентов и увеличивает длительность времени между возникновением инцидента и передачей команд, направленных на устранение инцидента.”

Для достижения указанного результата предложенная автоматизированная система, в отличие от прототипа, содержит в своем составе модуль предварительной подготовки данных.

Согласно материалам заявки, модуль предварительной подготовки данных:

- выполнен с возможностью получения запросов событий по инциденту от модуля анализа инцидентов, структурирования запросов событий по инциденту и передачи запросов событий по инциденту в модуль агрегирования инцидентов, что позволяет делить каждый аналитический запрос событий по инциденту, полученный от модуля анализа событий, на подзапросы и распределять подзапросы между средством краткосрочного хранения событий и средством долгосрочного хранения событий, основанном на применении технологии Big data, позволяя увеличить скорость нахождения нужных или связанных событий по инциденту в средстве краткосрочного и долгосрочного хранения событий, благодаря чему сокращается время их поиска и время их выгрузки из средства агрегирования инцидентов в модуль предварительной подготовки данных;

- выполнен с возможностью получения событий по инциденту от модуля агрегирования инцидентов, структурирования событий по инциденту и передачи структурированных событий по инциденту в модуль анализа инцидентов, что позволяет преобразовать неструктурированные события, полученные из модуля агрегирования инцидентов, в многомерные массивы событий, имеющие колоночную структуру таблиц, за счет чего упрощается процесс исключения повторяющихся событий информационной безопасности и повышается эффективность их индексирования моделью машинного обучения, благодаря чему повышается скорость и точность обработки массивов данных с применением машинного обучения.

При этом согласно описанию, модуль предварительной подготовки данных соединен с модулем агрегирования инцидентов с возможностью передачи структурированных запросов системе MS SQL или PostgreSQL управления базой краткосрочного хранения событий и системе управления базой долгосрочного хранения событий в SIEM-системе. Системы управления базами данных встроенной SIEM-системы соединены с модулем предварительной подготовки данных с возможностью передачи событий из баз краткосрочного и долгосрочного хранения событий.

Из уровня техники известно, что SQL – язык запросов, с помощью которого можно получать информацию из базы данных. База данных – большие таблицы с данными. Язык SQL предназначен для работы с реляционными базами данных – множеством таблиц, которые связаны между собой (см., в частности, https://dic.academic.ru/dic.nsf/ruwiki/4818; https://academy.yandex.ru/journal/how-sql; https://habr.com/ru/articles/564390/#%D1%87%D1%82%D0%BE-%D1%82%D0%B0%D0%BA%D0%BE%D0%B5-sql; https://aws.amazon.com/ru/what-is/sql/; https://support.microsoft.com/ru-ru/office/access-sql-%D0%BE%D1%81%D0%BD%D0%BE%D0%B2%D0%BD%D1%8B%D0%B5- %D0%BF%D0%BE%D0%BD%D1%8F%D1%82%D0%B8%D1%8F-%D0%BB%D0%B5%D0%BA%D1%81%D0%B8%D0%BA%D0%B0-%D0%B8- %D1%81%D0%B8%D0%BD%D1%82%D0%B0%D0%BA%D1%81%D0%B8%D1% 81-444d0303-cde1-424e-9a74-e8dc3e460671).

Из вышеизложенного следует, что посредством SQL запроса модуль предварительной подготовки данных может обращаться только к базам данных, в которых данные содержатся в виде таблиц, т.е. являются структурированными.

Вместе с тем, согласно описанию заявки, модуль предварительной подготовки данных в ответ на SQL запрос получает из модуля агрегирования инцидентов массив неструктурированных событий, связанных с инцидентом, т.е. неструктурированные данные.

Следует отметить, что в описании заявки не раскрыто, каким образом возможно обеспечить выгрузку массивов неструктурированных событий, связанных с инцидентом, из средства краткосрочного и долгосрочного хранения данных в модуль предварительной подготовки данных путем SQL запроса.

В материалах заявки также не раскрыто, что именно заявитель понимает под “неструктурированными событиями”.

В описании заявки приведены лишь сведения, касающиеся используемого общеизвестного программного обеспечения (баз данных, таких как Microsoft SQL Server и/или PostgreSQL; программных приложений, таких как T-SQL и PL/pgSQL), однако отсутствуют сведения, раскрывающие конкретные алгоритмы реализации вышеуказанной функции упомянутого модуля.

Описание заявки не содержит примера или примеров, на основании которых можно установить, что с помощью внесенных в систему изменений в сравнении с системой, раскрытой в ближайшем аналоге, возможно обеспечить достижение указанного технического результата.

Также в описании заявки отсутствуют данные экспериментов, испытаний, на основании которых можно заключить, что заявленное решение, охарактеризованное в представленной формуле изобретения, обеспечивает достижение указанного технического результата (пункт 45 Требований).

Отсутствуют вышеуказанные сведения и в дополнительных материалах к возражению, поступивших 10.02.2023 (в интернет-распечатке [1] раскрыто лишь многомерное представление структурированных данных) и 17.03.2023 (в представленных абзацах [0247]-[0249] патентного документа US 2017063896 приведены сведения об общем подходе к преобразованию неструктурированных данных в структурированные (общий случай), а не о “преобразовании неструктурированных событий в многомерный массив событий, имеющих колоночную структуру таблиц” (частный случай); в примере осуществления, описывающем функционирование модуля предварительной подготовки данных, приведены лишь сведения о разбиении аналитических запросов на подзапросы, адресованные к средствам краткосрочного и долгосрочного хранения событий).

Что касается технического результата, указанного в корреспонденции от 05.04.2022, и заключающегося в реализации автоматизированной системой обеспечения информационной безопасности ее назначения, т.е. обеспечение безопасности, то здесь необходимо отметить следующее.

Как было отмечено выше, в описании заявки отсутствуют сведения, раскрывающие, каким образом возможно обеспечить выгрузку массивов неструктурированных событий, связанных с инцидентом, из средства краткосрочного и долгосрочного хранения данных в модуль предварительной подготовки данных путем SQL запроса.

Отсутствие указанных сведений не позволяет сделать вывод о возможности достижения заявленной автоматизированной системой обеспечения информационной безопасности технического результата, заключающегося в обеспечении информационной безопасности.

Из вышеизложенного следует, что материалы заявки не раскрывают сущность заявленного изобретения с полнотой, достаточной для осуществления специалистом в данной области техники, что нарушает требования пункта 2 статьи 1375 Кодекса.

При этом заявителем в процессе рассмотрения возражения не было приведено доводов, опровергающих данный вывод.

Учитывая вышеизложенное, коллегия пришла к выводу о наличии оснований для принятия Роспатентом следующего решения:

отказать в удовлетворении возражения, поступившего 09.09.2022, решение Роспатента от 31.05.2022 оставить в силе.