Este plan define cómo Bolívar Connect mantiene el servicio ante una
interrupción, cómo lo recupera tras un desastre y cómo protege sus datos con
copias de seguridad.
| Indicador |
Objetivo |
Qué significa |
| RTO (tiempo de recuperación) |
4 horas |
Tiempo máximo hasta restablecer el servicio de la API |
| RPO (pérdida máxima de datos) |
5 minutos |
Datos máximos que pueden perderse, gracias a la restauración a un punto en el tiempo |
| Proceso |
Impacto si se detiene |
Prioridad |
| Recepción y validación de instrucciones de pago |
Los clientes no pueden ordenar pagos |
1 |
| Transmisión a la entidad financiera regulada y seguimiento del estado |
Pagos sin ejecutar o sin confirmar |
1 |
| Avisos por webhook a los clientes |
Los clientes no conocen el desenlace de sus pagos |
2 |
| Conciliación contra la entidad financiera regulada |
Diferencias sin detectar |
3 |
La plataforma está construida para que una caída no pierda ni duplique
instrucciones de pago:
- toda instrucción es idempotente y atómica, y un reintento no genera un segundo pago;
- las instrucciones con resultado ambiguo se resuelven automáticamente contra la entidad financiera regulada y nunca se reenvían por otra vía;
- los avisos a clientes salen de una cola persistente (outbox) que los reentrega al volver el servicio;
- el cierre del servicio es ordenado y deja terminar las operaciones en curso;
- un circuit breaker aísla a un tercero que falla sin detener el resto de la plataforma.
| Escenario |
Respuesta |
| Fallo de la aplicación |
Reinicio automático del servicio por el sistema operativo |
| Fallo de la instancia |
Recreación de la instancia desde la infraestructura como código y restauración de los datos |
| Corrupción o borrado de datos |
Restauración de la base de datos al último punto válido anterior al evento |
| Caída de una zona de disponibilidad o región de AWS |
Recreación de la infraestructura en otra zona o región desde el código y la copia más reciente |
| Caída de la entidad financiera regulada |
Circuit breaker, instrucciones retenidas con su estado y aviso a los clientes; se retoman al volver la entidad |
| Compromiso de seguridad |
Plan de respuesta a incidentes (D4) |
- El Coordinador declara el desastre y avisa a la Dirección.
- Se recrea la infraestructura desde la plantilla de AWS CloudFormation versionada.
- Se restaura la base de datos desde el backup o el punto en el tiempo más reciente.
- Se cargan los secretos desde AWS Secrets Manager y se despliega la versión vigente del código.
- Se verifican la salud del servicio, las invariantes del libro de trazabilidad y la conciliación contra la entidad financiera regulada.
- Se avisa a los clientes y se reanuda el servicio.
| Aspecto |
Regla |
| Qué se respalda |
La base de datos completa. El código y la infraestructura se recuperan desde el repositorio, y los secretos desde AWS Secrets Manager |
| Frecuencia |
Copia automática diaria más registro continuo de transacciones, que permite restaurar a cualquier punto |
| Retención |
7 días de restauración a un punto en el tiempo; snapshot manual antes de cada cambio relevante; snapshot final si se elimina la infraestructura |
| Cifrado |
AES-256 con AWS KMS |
| Ubicación |
AWS, región us-east-1, fuera de la instancia de la aplicación |
| Acceso |
Solo el personal técnico autorizado según D2 |
- Restauración: una vez por trimestre se restaura un backup en un entorno aislado y se verifica que los datos estén completos y sean consistentes.
- Ejercicio del plan: una vez al año se simula un escenario de la sección 4, se mide el tiempo real de recuperación frente al RTO y se registran los resultados y las mejoras.