La Regola di notifica delle violazioni è un requisito HIPAA che indica agli enti coperti e ai business associate cosa fare dopo una violazione che coinvolge informazioni sanitarie protette non protette (PHI). Definisce quando è richiesta la notifica, chi deve essere informato e cosa la notifica deve generalmente includere, come la natura dell'incidente e i tipi di dati coinvolti.
Nella sicurezza informatica, questa regola è importante perché la divulgazione non è solo un dettaglio legale secondario; fa parte del piano di risposta. Quando gli aggressori rubano, espongono o accedono impropriamente a cartelle cliniche, le organizzazioni devono stabilire se i dati erano protetti, se è necessaria una valutazione del rischio di violazione e se pazienti, autorità di regolamentazione e talvolta i media devono essere informati. I difensori utilizzano questa regola per guidare la risposta agli incidenti, la revisione dei log, l'analisi forense e le decisioni di contenimento. Negli attacchi reali, diventa rilevante quando ransomware, archiviazione cloud configurata in modo errato o la compromissione di un fornitore espongono PHI e attivano obblighi formali di notifica.