Empresas descobrem backups corrompidos durante o desastre real com frequência maior do que estatísticas de falha de hardware sugerem. Você precisa de RPO/RTO definidos, estratégia 3-2-1 e simulação de desastre agendada.

Os dois números que importam

RPO define quanto dado você aceita perder: 15 minutos? 24 horas? RTO define quanto tempo a recuperação pode levar. Toda decisão técnica deriva desses dois números, e eles pertencem ao negócio. Engenharia que inventa RPO de 5 minutos quando o produto aceitaria 4 horas paga caro pela confusão.

A regra 3-2-1 e um quarto item

Três cópias, dois tipos de mídia, uma fora do local. O quarto item é imutabilidade. A documentação da AWS recomenda S3 Object Lock para proteger backups contra ransomware. Backup acessível pela mesma credencial do banco principal protege contra falha de disco e nada mais.

Camadas de recuperação

  • Replicação contínua: PITR com arquivamento de WAL no Postgres cobre perda de minutos
  • Backups noturnos completos: cobrem histórico e recuperação pontual antiga
  • Cópias cross-region: sobrevivem à perda da região inteira

Cada camada atende uma classe de incidente. Uma só nunca basta.

Teste automatizado de restore

Restore mensal automatizado em ambiente descartado, com verificação de checksum e amostragem de queries. O tempo de restore sai medido do teste, não estimado da planilha. O número medido vira seu RTO real e alimenta conversas com clientes enterprise.

Runbook para operador sob pressão

Comandos exatos, pré-requisitos de acesso, árvore de decisão separando corrupção, deleção acidental e perda regional. Escreva para quem acabou de acordar às 3 da manhã. Runbook que assume operador calmo com contexto completo falha quando você mais precisa dele.

Game days trimestrais

Delete um banco de não-produção e restaure contra o relógio, trimestralmente. Os achados alimentam a próxima iteração do plano. Time que nunca praticou restore descobre no exercício que falta credencial de acesso ao bucket, ou que o dump de 400GB não cabe no disco disponível.

Recovery como requisito comercial

Janelas de notificação de vazamento da LGPD e SLAs enterprise transformam capacidade de recuperação documentada em requisito comercial. O plano de disaster recovery deixou de ser assunto interno de ops.