L'arbitraggio normativo è la pratica di scegliere una giurisdizione con regole più leggere per ridurre i costi di conformità, velocizzare il deployment o ridurre l'esposizione legale. Nella sicurezza informatica, questo è importante perché il luogo in cui un servizio viene sviluppato, ospitato o venduto può cambiare quali controlli di privacy, logging, segnalazione degli incidenti e governance sono richiesti. Un'azienda che progetta solo per il regime più debole può scoprire in seguito di aver comunque bisogno di misure di protezione più solide quando gestisce dati esteri o entra in mercati più restrittivi.
Appare in attacchi e difese reali in modi diversi. I criminali possono registrare domini, ospitare infrastrutture o elaborare pagamenti in luoghi con un'applicazione limitata delle norme per rendere più difficili le rimozioni. Difensori e fornitori possono usare giurisdizioni favorevoli per le operazioni, ma devono comunque disporre di registri di audit, controlli degli accessi e policy di gestione dei dati che soddisfino le regole transfrontaliere. Il rischio per la sicurezza è semplice: una conformità più economica oggi può creare costose attività di remediation in seguito.