Caso: el servicio de reservas está caído

La situación del club ficticio Alder

Alder ofrece un pequeño servicio de reservas de material. A las 09:00, inicio acordado de la interrupción, el personal no puede completar una reserva. Las horas siguientes son inventadas y están en UTC; supone que los relojes indicados están sincronizados. Preparas el registro de decisiones usando solo la evidencia aportada. La disponibilidad describe si las personas pueden usar el servicio. Un compromiso es una afirmación distinta sobre actividad no autorizada; una caída no lo demuestra por sí sola.

El responsable ha acordado un RPO de treinta minutos y un RTO de sesenta. El objetivo de punto de recuperación (RPO) limita la pérdida tolerable de datos recientes, expresada en tiempo. El objetivo de tiempo de recuperación (RTO) limita el plazo para restaurar el servicio definido. La recuperación termina cuando el personal puede acceder, crear y consultar reservas, superar las comprobaciones de acceso y contabilizar las solicitudes en cola, registrando expresamente las pendientes. Una página pública de estado que funciona no cumple ese objetivo.

Etapa 1: lee sin completar la historia

PrediceNo aparecen alertas. ¿Qué actualización corresponde: «sin compromiso», «compromiso confirmado» o «causa sin confirmar y visibilidad incompleta»?

La tercera. Existe evidencia de impacto y telemetría ausente. Un problema del proveedor y un cambio no autorizado son hipótesis posibles, no conclusiones establecidas. Ni el silencio ni el informe administrativo las resuelven.

La primera actualización debe identificar la función afectada, quién coordina y cuándo llegará la siguiente información. No conviertas una declaración del proveedor en un hallazgo propio confirmado. Conserva informes y contexto mediante el procedimiento autorizado. Registra de qué depende cada decisión: revisar la aprobación puede continuar mientras recuperación evalúa opciones utilizables.

Etapa 2: sigue las dependencias

A las 09:15, recuperación informa de que el almacén actual de reservas falla las comprobaciones de coherencia de la aplicación. La causa sigue investigándose. Según el plan acordado, un punto verificado contiene datos confirmados hasta las 08:40; sus claves y accesos de recuperación están disponibles sin el proveedor de identidad caído. La dirección autoriza recuperar después de que el responsable de evidencia registre la decisión de conservación y sus límites. Son hechos aportados por el ejercicio, no capacidades demostradas por esta lección.

A las 09:20, un registro de aprobaciones y el supervisor responsable confirman una ventana urgente de 08:50-09:00 para el cambio comunicado. Esto reduce la preocupación sobre esa discrepancia concreta. No establece la causa del fallo de coherencia, valida todas las acciones administrativas ni completa la telemetría ausente.

La base de datos supera las comprobaciones de componente a las 09:22. El personal sigue sin acceder hasta las 09:34. Recuperar una dependencia es avanzar; presentarlo como recuperación terminada ocultaría el proceso todavía bloqueado. La guía de contingencias de NIST ayuda a formular este problema, mientras su guía de respuesta mantiene análisis y recuperación dentro de una misma coordinación.

Predice¿Puede comunicarse recuperación a las 09:34 porque el personal ya inicia sesión?

Todavía no según el acuerdo. Hay que verificar reservas, restricciones de acceso y tratamiento de solicitudes en cola. Autenticarse correctamente no demuestra que la aplicación use bien los datos restaurados.

Etapa 3: decide qué demuestra el éxito

A las 09:42 se superan las comprobaciones acordadas. Se crean y consultan reservas de prueba, las funciones del personal comprobadas reciben los accesos esperados y las solicitudes en cola figuran en un registro de conciliación. Ese registro conserva explícitamente las reservas históricas pendientes del intervalo sin datos; superar la aceptación no afirma haber recuperado todos los registros.

La duración medida es 09:42 menos 09:00: cuarenta y dos minutos, dentro del RTO de sesenta. El punto recuperado precede a la interrupción en veinte minutos, dentro del RPO de treinta. Veinte minutos describen un intervalo, no una cantidad de reservas perdidas. Establecer pérdidas reales exige conciliación con registros independientes adecuados y el procedimiento de negocio acordado.

Entrega modelo

«Servicio aceptado a las 09:42 tras recuperar identidad y datos coordinadamente. Recuperación de cuarenta y dos minutos frente al RTO de sesenta; desfase del punto recuperado: veinte. El cambio administrativo comunicado tiene aprobación urgente contrastada. Siguen abiertos la causa del fallo de coherencia, la carencia de recogida y las reservas históricas pendientes, con responsables y próxima revisión».

El responsable podría autorizar antes un servicio limitado si explicita funciones y límites; se informaría como hito separado, sin sustituir silenciosamente este final. Sospechar que un punto no es seguro exigiría otra decisión, quizá con mayor desfase. Restaurar reduce el problema de disponibilidad. No cierra automáticamente la investigación ni demuestra ausencia de compromiso.