La discrezionalità sanzionatoria è il potere che ha un'autorità di regolamentazione, un tribunale o un altro organismo di controllo di decidere se una violazione debba essere sanzionata e quanto severa debba essere la sanzione. Nella sicurezza informatica, questo è importante perché lo stesso fallimento di sicurezza può portare a esiti molto diversi a seconda dei fatti, della legge e della qualità della risposta dell'organizzazione. Una lieve mancanza con una rapida correzione può comportare un avvertimento, mentre una negligenza ripetuta, una cattiva governance o controlli deboli possono giustificare una multa o misure più severe.
Nelle reali cause di privacy e sicurezza, la discrezionalità sanzionatoria influenza la strategia di difesa. Le aziende cercano di ridurre l'esposizione conservando registri degli incidenti, valutazioni del rischio, approvazioni interne, documenti di rimedio e cronologie che dimostrino una gestione responsabile. Gli attaccanti non controllano questa discrezionalità, ma le loro azioni possono influenzarla: un evento di ransomware causato da patch ignorate, ad esempio, può essere trattato con maggiore severità rispetto a uno verificatosi nonostante controlli solidi. Per chi difende, il punto chiave è che le prove possono incidere sull'enforcement tanto quanto il fallimento tecnico stesso.