RDS snapshots y retención: DR que sobrevive auditoría

Bases RDS en AWS alimentan ERP, EHR SaaS backends, y apps custom de PYMES boricuas — pero snapshot retention default de 7 días y PITR desactivado fallan auditoría HIPAA y expectativas de DR post-huracán. El AWS Security Blog recomienda automated backups con retention alineada a RPO de negocio; NIST 800-34 exige pruebas periódicas de recovery.

Configure backup retention 35 días mínimo para prod crítico; considere manual snapshots pre-deploy con tags Release. PITR habilitado — ventana de recovery hours según transaccionalidad. Cross-region snapshot copy para DR continental si operación PR depende de acceso desde Miami HQ durante emergencia isla.

Failover testing: RDS Multi-AZ failover anual documentado; para Single-AZ aceptado por costo, restore snapshot en staging y validar app connectivity. Documente RTO real medido, no teórico del slide. Auditor pregunta cuándo fue última prueba exitosa.

Cifrado: KMS CMK para snapshots, rotate keys anual, restrict kms:Decrypt a roles backup/restore únicamente. Snapshots públicos accidentalmente son finding GuardDuty Critical — IAM policy y SCP prevent sharing.

Costo snapshots acumulados: lifecycle policy borra manual snapshots stale; AWS Backup centraliza policy cross-resource. FinOps y DR no son opuestos — retention informed by legal hold y regulatory, no por miedo a bill. Clínica en Guaynabo con 7 años retención PHI necesita architecture distinta a ecommerce turístico — diseñe por dataset.