Una soglia di divulgazione è il punto in cui un incidente informatico diventa sufficientemente significativo da richiedere una segnalazione formale, un'escalation o una notifica pubblica. La soglia è solitamente collegata a un impatto rilevante, come l'interruzione dell'attività, l'esposizione di dati sensibili, l'esposizione legale o il danno a clienti, partner o operazioni critiche.
Questo è importante perché non tutti gli eventi di sicurezza sono soggetti a segnalazione, ma non individuare la soglia può generare violazioni di conformità e danni alla reputazione. Nelle vere offensive, i difensori devono decidere rapidamente se un'intrusione sia solo un problema interno oppure una violazione da segnalare. Tale valutazione orienta la risposta agli incidenti, la revisione legale, la supervisione dei dirigenti e le comunicazioni. Gli attaccanti spesso cercano di mantenere l'attività al di sotto della soglia di rilevamento o dei criteri di segnalazione limitando l'ambito, prendendo di mira piccoli insiemi di dati o usando un accesso di breve durata. I difensori riducono il rischio definendo criteri chiari di rilevanza materiale, conservando le prove, coinvolgendo tempestivamente i team legali e di governance e documentando perché un incidente ha superato - o non ha superato - la soglia.