Las empresas descubren backups corruptos durante el desastre real con mayor frecuencia de lo que las estadísticas de fallo de hardware sugieren. Necesitas RPO/RTO definidos, estrategia 3-2-1 y simulación de desastre programada.

Los dos números que importan

RPO define cuánto dato aceptas perder: ¿15 minutos?, ¿24 horas? RTO define cuánto tiempo puede tardar la recuperación. Toda decisión técnica deriva de estos dos números, y pertenecen al negocio. Ingeniería que inventa un RPO de 5 minutos cuando el producto aceptaría 4 horas paga caro por la confusión.

La regla 3-2-1 y un cuarto elemento

Tres copias, dos tipos de medio, una fuera del sitio. El cuarto elemento es inmutabilidad. La documentación de AWS recomienda S3 Object Lock para proteger backups contra ransomware. Un backup accesible con la misma credencial de la base principal protege contra fallo de disco y nada más.

Capas de recuperación

  • Replicación continua: PITR con archivado de WAL en Postgres cubre pérdida de minutos
  • Backups completos nocturnos: cubren historial y recuperación puntual antigua
  • Copias cross-region: sobreviven a la pérdida de la región entera

Cada capa atiende una clase de incidente. Una sola nunca basta.

Prueba automatizada de restore

Restore mensual automatizado en ambiente descartable, con verificación de checksum y muestreo de queries. El tiempo de restore sale medido de la prueba, no estimado desde una planilla. El número medido se convierte en tu RTO real y alimenta conversaciones con clientes enterprise.

Runbook para operador bajo presión

Comandos exactos, prerrequisitos de acceso, árbol de decisión que separa corrupción, borrado accidental y pérdida regional. Escribe para quien recién despertó a las 3 de la mañana. Un runbook que asume un operador tranquilo con contexto completo falla cuando más lo necesitas.

Game days trimestrales

Elimina una base de datos de no-producción y restáurala contra el reloj, trimestralmente. Los hallazgos alimentan la próxima iteración del plan. El equipo que nunca practicó restore descubre en el ejercicio que falta una credencial de acceso al bucket, o que el dump de 400GB no cabe en el disco disponible.

Recovery como requisito comercial

Las ventanas de notificación de fugas de la LGPD y los SLA enterprise transforman la capacidad de recuperación documentada en requisito comercial. El plan de disaster recovery dejó de ser asunto interno de ops.