Desde una perspectiva organizacional, lo expuesto anteriormente se traduce en tres cuestiones principales: (i) los problemas no se abordan al más alto nivel de gobierno; (ii) este último no cuenta con una evaluación exhaustiva de la situación de riesgo a nivel nacional, y por tanto, no puede tomar decisiones basadas en el riesgo; y (iii) las actividades en los niveles inferiores no se basan en la gestión del riesgo. Adicional a las falencias organizacionales, tener una política de seguridad digital centrada en el sector defensa sin coordinación con las demás sectores interesados en el tema, limita la detección y respuesta a incidentes digitales. Así lo plantean el BID y la OEA (2016), a través de su modelo de madurez de capacidad de seguridad cibernética22, al darle a Colombia una clasificación de formativo 23 en capacidad de respuesta a incidentes , que reconoce que el país ha trabajado en el establecimiento de un grupo de respuesta a incidentes nacional (colCERT), pero que tiene un alcance limitado en cuanto a la detección y respuesta. Esto, fruto de que las capacidades actuales no son las ideales para contar con un organismo auto-sostenible (actualmente se depende en gran medida de fuentes de información externa) apoyado desde los diferentes sectores de la sociedad, el cual trabaje de manera coordinada con ellos y sea capaz de responder adaptativamente a los cambios del entorno cibernético. 4.2. Las múltiples partes interesadas no maximizan sus oportunidades al desarrollar actividades socioeconómicas en el entorno digital En materia de seguridad digital, en el país no se distingue actualmente el objetivo de prosperidad económica y social de los objetivos de defensa y seguridad nacional en el entorno digital. Esto significa que Colombia actualmente enfoca sus esfuerzos en contrarrestar 22 Modelo que toma en cuenta las consideraciones de seguridad cibernética a través de cinco áreas o dimensiones de la capacidad diferentes: (i) políticas y estrategia nacional de seguridad cibernética; (ii) cultura cibernética y sociedad; (iii) educación, formación y competencias en seguridad cibernética; (iv) marco jurídico y reglamentario; y (v) normas, organización y tecnologías. 23 Para cada capacidad se han identificado cinco niveles de madurez. Los niveles de madurez son los siguientes: (i) inicial: en este nivel, o nada existe, o es de naturaleza embrionaria. Incluye situaciones en las que existe un pensamiento o una observación acerca de un problema, pero no una acción; (ii) formativo: algunas características han comenzado a crecer y ser formuladas, pero pueden ser casuales, desorganizadas, mal definidas o simplemente nuevas; (iii) establecido: los elementos están establecidos y funcionando, sin embargo, no se ha considerado bien la asignación relativa de recursos, y ha habido poca toma de decisiones de compensación en relación con la inversión relativa en los distintos elementos del subfactor; (iv) estratégico: al nivel nacional se han elegido las partes del subfactor que son clave, así como aquellas que son menos importantes para la organización o país en particular. Estas elecciones toman en consideración un resultado esperado, una vez implementado, que contiene circunstancias particulares y otros objetivos nacionales existentes; y (v) dinámico: existen mecanismos claros para alterar la estrategia en función de las circunstancias imperantes, las organizaciones dinámicas han desarrollado métodos para cambiar las estrategias, de acuerdo con una manera de sentir y responder, y la toma de decisiones es rápida. La reasignación de los recursos y la atención constante a los cambios del entorno son las características de este nivel. 34