Tesis doctorales de la Escuela Internacional de Doctorado de la URJC desde el curso 2024/25
Cuantificación y predicción del ciberriesgo en el perímetro externo de los municipios de España mediante modelos estocásticos e Inteligencia Artificial
Autor
SÁNCHEZ ZURDO, FRANCISCO JAVIER
Director
SAN MARTÍN LÓPEZ, JOSÉ JAVIER
Fecha de depósito
27-10-2026
Periodo de exposición pública
28 de octubre a 11 de noviembre de 2026
Fecha de defensa
Sin especificar
Programa
Tecnologías de la información y las Comunicaciones (TICs)
Mención internacional
No
Resumen
La presente tesis doctoral aborda un problema de creciente relevancia y crítico para las administraciones públicas en España: la ciberseguridad en las EE.LL.
La digitalización de los servicios públicos ha mejorado sustancialmente la eficiencia y la transparencia, pero también ha incrementado la superficie de ataque ante amenazas que son cada vez más sofisticadas.
Los municipios custodian una gran cantidad de datos confidenciales como información personal, financiera, catastral y de servicios sociales, entre otros. El valor de estos datos confidenciales en el mercado negro es muy alto y se convierten en objetivos prioritarios para el cibercrimen organizado.
La Unión Europea, dada esta criticidad, trabajó en la actualización de la Directiva NIS a la NIS2, para identificar claramente las entidades críticas y esenciales. Sin embargo, las entidades públicas locales no fueron expresamente incluidas en la Directiva para su cumplimiento obligatorio por lo que las posiciona en un estado de “baja observabilidad”.
La motivación principal de esta tesis es proteger a este tipo de entidades públicas, los municipios, que se constituyen como las entidades más numerosas por volumen y las que podrían estar identificadas como el eslabón más débil en la cadena de protección.
La investigación plantea como hipótesis la correlación de variables técnicas, demográficas, y económicas para predecir el ciber riesgo en el perímetro externo de los municipios, demostrando empíricamente que los modelos de gobernanza (geografía y servicios compartidos), son predictores más importantes para la mitigación del riesgo que la asignación presupuestaria aislada en términos de defensa cibernética. Se generan herramientas visuales para predecir el riesgo, se identifican las variables predictoras y se calcula el coste financiero de los municipios más débiles.
En la metodología, se adopta un enfoque empírico y fundamentado en datos o Data-Driven, estructurado en:
- Evaluación masiva y no intrusiva (OSINT), generando el meta indicador CIORank que evalúa el perímetro externo de más de 7.000 municipios en España a lo largo de los años 2022, 2023 y 2024. Mediante robots automatizados y un clúster informático, se recolectaron 93 métricas diferentes, entre las que destacan las métricas de Seguridad, Disponibilidad, Posicionamiento SEO y métricas competenciales o de contexto (población, presupuesto, impuestos, etc.).
- Modelos predictivos con Machine Learning. Se implementó una arquitectura de datos Medallion para gestionar el gran volumen de datos. Posteriormente se entrenaron y optimizaron modelos de inteligencia artificial supervisada para clasificar el riesgo de cada entidad pública local.
- Cuantificación económica del riesgo. La alta incertidumbre y la falta de telemetría interna fue el factor decisivo para la creación de un motor estocástico basado en Monte Carlo y el framework FAIR. Con 100.000 simulaciones por entidad pública se cruzaron las capacidades de defensa con las capacidades de las amenazas, para disponer de una distribución de probabilidad de pérdidas económicas por entidad.
Los resultados y principales hallazgos se resumen en los siguientes:
- Se confirma el mito del presupuesto. Los modelos matemáticos demuestran que no existe una correlación estadísticamente significativa entre el presupuesto de IT y la reducción del riesgo.
- La variable Provincia surgió como una de las principales predictoras del riesgo, validándose que la ubicación geográfica actúa como proxy de la gobernanza.
- También se mostró la “Trampa del tamaño medio”, donde las simulaciones de Monte Carlo demostraron que las grandes capitales tienen defensas robustas. Los municipios pequeños o dependen de la Diputación o tienen menos atractivo para los atacantes. Sin embargo, los municipios medianos tienen un alto atractivo, pero no disponen de las mismas defensas para resistir las amenazas actualmente intensas.
La tesis muestra en sus conclusiones que la autogestión y el aislamiento presupuestario no es una estrategia ganadora hoy en día. Ante vulnerabilidades sistémicas, es imprescindible migrar hacia modelos de gobernanza compartida. Mediante el marco propuesto no solo se valida el uso de OSINT y Machine Learning para estimar el riesgo, sino que se dota de herramientas basadas en datos (mapas de calor, cuadrantes mágicos, modelos de IA, simulaciones estocásticas), a los responsables políticos y a la capa directiva para priorizar las inversiones públicas en protección cibernética.
