El presente proyecto de fin de carrera responde a la necesidad creada a causa de las normativas publicadas por la Oficina Nacional de Gobierno Electrónico e Informática (ONGEI) que declaran de uso obligatorio las Normas Técnicas Peruanas NTP-ISO/IEC 27001:2008 y NTP-ISO/IEC 17799:2007 (con fechas de publicación mayo 2012 y julio 2011 respectivamente) a una lista de empresas del estado peruano que pertenezcan y/o estén involucradas en la Administración Pública con la finalidad de establecer un modelo integral para el desarrollo de los planes de seguridad de la información de la misma. Esta necesidad, a causa del carácter obligatorio de las normas mencionadas, es reconocida como la atención a la falta de procedimientos que permitan realizar auditorías que verifiquen el cumplimiento de la NTP-ISO/IEC 17799 como parte del proceso de cumplimiento integral de la NTP-ISO/IEC 27001 en las empresas del estado peruano. La elaboración de estos procedimientos estarán basados en COBIT 5.0, publicado en mayo de 2012, nuevo estándar de facto para Tecnologías de Información reconocido internacionalmente. Estos procedimientos estarán acompañados de la declaración de aplicabilidad para la norma NTP-ISO/IEC 17799 para poder definir los controles que serán establecidos e implementados por la institución, un Inventario de activos de información comúnmente relacionados con los controles presentes en la NTPISO/ IEC 17799 y un Mapeo del marco COBIT 5.0 frente a la norma NTP 17799 identificando la correspondencia de los dominios de COBIT hacia los controles de la NTP.

En los últimos 20 años la información se ha convertido en un activo muy importante y crucial dentro de las organizaciones. Por esta razón la organización tiene la necesidad de protegerla si es que la información tiene relación ya sea con el negocio o con sus clientes. Para gestionar la información y su seguridad, las entidades pueden adoptar alguna de las normas y buenas prácticas existentes en el mercado. Para el caso de una empresa del rubro de producción y distribución de alimentos de consumo masivo, también aplica esta necesidad de proteger la información. Por ejemplo, en unos de sus principales procesos que es el de producción, está implicada información de gran importancia para la empresa, como “recetas” de productos, programación de manufactura, sistemas que se usan, tipos de pruebas de calidad de producto, etc., la cual debe estar resguardada correctamente para evitar que dicha información se pierda o caiga en manos indebidas y así garantizar que se logren los objetivos del negocio. En el presente proyecto de fin de carrera se tomaran en cuenta los aspectos más importantes de la norma ISO/IEC 27001:2005, a partir de los cuales se buscará poder desarrollar cada una de las etapas del diseño de un sistema de gestión de seguridad de información para que pueda ser empleado por una empresa dedicada a la producción de alimentos de consumo masivo en el Perú, lo cual permitirá que ésta cumpla con las normas de regulación vigentes en lo que respecta a seguridad de información. Para efectos del análisis de riesgos para este proyecto de tesis, se decidió trabajar con el proceso de producción, ya que se consideró que era el proceso más importante dentro del funcionamiento de la empresa. Este proceso de producción a su vez se dividió en 4 subprocesos que lo conforman, los cuales fueron el proceso de planificación, manufactura, calidad y bodegas e inventarios.