Backups y disaster recovery en un EMR: cómo evaluarlos antes de firmar

Lo que pasa cuando un EMR se cae

Imaginá un lunes a las 10am. Tu consulta llena de pacientes desde las 8. Al abrir el séptimo expediente, el sistema da error. Refrescás. Sigue el error. Llamás al proveedor. Te dicen "estamos investigando, en una hora te confirmamos".

Tres horas después, el sistema vuelve. Pero descubrís que las consultas de la mañana no se guardaron. Los datos de los pacientes que viste están perdidos.

Esa es la pesadilla. Y es prevenible, pero solo si el proveedor tiene una estrategia real de backups + disaster recovery y vos sabés cómo evaluarla.

Los tres niveles de protección que un EMR debería tener

Nivel 1: Replicación en vivo (Hot Standby)

El sistema tiene un servidor secundario que recibe cada cambio en tiempo real (replicación de PostgreSQL streaming, por ejemplo). Si el primario cae, el secundario toma su lugar en segundos.

Tiempo objetivo de recuperación (RTO): minutos. Tiempo objetivo de pérdida de datos (RPO): cero o segundos.

Esto es lo que protege contra fallas de hardware del servidor primario.

Nivel 2: Backups diarios automáticos en otro datacenter

Cada noche, un snapshot completo del sistema se copia a un datacenter físicamente separado. Si el datacenter primario tiene un incendio, un corte eléctrico prolongado o un ataque, los backups del otro datacenter te dejan reconstruir.

RTO: horas. RPO: 24 horas como máximo (el último backup nocturno).

Esto protege contra fallas de datacenter completo.

Nivel 3: Backups semanales offline (cold storage)

Una vez por semana, el backup se copia a almacenamiento offline (cinta o disco desconectado). Esto es la protección contra ransomware: si un atacante encripta TODOS los servidores online, el backup offline es intocable.

RTO: 1-3 días. RPO: hasta 7 días.

Esto protege contra ataques cibernéticos avanzados.

Lo que tiene Mediclic

PostgreSQL en data center primario en Guatemala

Servidor primario en data center Tier-3 en Guatemala con uptime 99.982% objetivo. Hardware redundante (RAID, fuentes duales).

PBS (Proxmox Backup Server) — backups diarios incrementales

Cada noche a la medianoche GT, dos servidores de backup independientes toman snapshots incrementales del sistema completo. Físicamente separados con discos independientes.

Capacidades actuales: ~165 GB libres en uno (~1-2 años de retención) y 2.6 TB libres en el otro (retención prácticamente indefinida). Con retención de 30 días por snapshot, podés restaurar el expediente completo a cualquier momento de los últimos 30 días.

Notificaciones Telegram automáticas

Si un backup falla, alerta inmediata al admin via grupo Telegram dedicado. Ningún backup pasa desapercibido.

Watchdogs cross-check

Los servidores de backup se monitorean mutuamente. Si uno detecta que el otro no está respondiendo, alerta antes de que sea problema crítico. Evita falsos positivos por blip de red.

Restaurar desde backup — el procedimiento real

Si el sistema cae:

1. Telegram avisa al admin en minutos.
2. Restauración del snapshot más reciente desde uno de los servidores de backup.
3. Cambio de proxy: el reverse proxy se apunta a la nueva IP del sistema restaurado.
4. Tiempo total: típicamente 30-60 minutos para restaurar + 10 minutos para verificar.

Alternativa más rápida (si hay urgencia): cambiar DNS a un servidor edge mientras se restaura. La página de mantenimiento + agendamiento queda disponible aunque la app esté caída.

Cosas que la mayoría de proveedores NO te dicen

"Tu plan incluye backup" no es lo mismo que "tu plan incluye disaster recovery"

Backup = los datos están copiados. DR = los datos están copiados Y existe un procedimiento documentado para restaurar Y se ha probado.

Si el proveedor no tiene un plan probado, tener backups no te sirve cuando llegue la hora de restaurar y tarden 5 días en encontrar el procedimiento.

Pregunta clave en la demo: ¿Cuándo fue la última vez que probaron una restauración completa desde backup? Si la respuesta es "nunca", hay un problema.

"99.99% uptime" es un slogan, no una garantía

99.99% uptime significa hasta 52 minutos de caída al año. 99.9% significa 8 horas. El proveedor decente publica el SLA por escrito y compensa si lo incumple. Si solo tienen el slogan en su web sin contrato escrito, no es garantía.

Los datos del paciente son TUYOS, no del proveedor

Pregunta: Si quiero rescindir el contrato hoy, ¿en cuánto tiempo me dan TODOS mis datos en formato exportable? La respuesta correcta: hoy mismo, con un clic, en JSON estructurado y PDFs. Cualquier otra respuesta es lock-in disfrazado.

Mediclic publica esa garantía explícitamente.

Lo que la clínica debería hacer de su lado

Aunque el proveedor tenga backups perfectos, hay cosas que solo vos podés hacer:

1. Probar la exportación una vez al mes. Bajá el JSON, validá que se abre, archivalo en un disco externo o en tu Google Drive personal.
2. Documentar el procedimiento de contingencia: si el sistema cae 4 horas, ¿qué hacés? ¿papel y boleta? ¿esperás? Tener un plan B explícito.
3. No depender de un solo email para alertas: si tu email se rompe el mismo día que el sistema, no te enterás.
4. Tener un canal directo con el proveedor que NO sea el sistema mismo (WhatsApp, teléfono).

Cómo evaluar la estrategia de backups de un proveedor antes de firmar

Cinco preguntas:

1. ¿Cuántos backups por día/semana hacen y dónde están? Respuesta esperada: al menos diario + en otro datacenter.
2. ¿Cuándo fue la última restauración real probada? Si nunca o no recuerdan, mala señal.
3. ¿Cuál es el RTO y RPO publicado? Si no tienen números, no tienen plan.
4. ¿Cómo me notifican si hay un problema? Email solamente es flojo. Telegram/SMS + email es serio.
5. ¿Tengo cláusula contractual de exportación de datos sin penalización? Pediles cita textual.

Cierre

Los backups y el disaster recovery son la cosa más aburrida del software médico — hasta que los necesitás, y entonces son lo único que importa. Un proveedor que tenga procedimientos probados, dos data centers separados, y notificaciones inmediatas vale el costo extra. Uno que no, te puede borrar 6 meses de expedientes en una mala madrugada. La diferencia es invisible hasta el día que llega, y entonces es absoluta.