作为HIPAA策略和过程要求的一部分，具有包含ePHI数据的服务器的数据中心必须得到适当的物理保护。必须通知信息安全这些服务器和他们的位置。服务器的位置（通常是服务器机房/数据中心）必须每年审核一次以确保合规性。