IT dokumentace — provozní přehled

Výroba Novák & Syn s.r.o.

Výrobní firma, 45 zaměstnanců, jeden interní správce IT (Martin Doubek) a externí dodavatel (Nováček IT s.r.o.). Prostředí je hybridní: servery ve firmě (Active Directory) + Microsoft 365 v cloudu, propojené synchronizací Entra Connect.

vygenerováno 14. 8. 2026 ze zdrojových dat · verze 1.5

Ukázková dokumentace ICT-GROUP. Výroba Novák & Syn s.r.o. je smyšlená firma — všechna jména, adresy, IP adresy i údaje jsou fiktivní.

Nejbližších 5 termínů

45 dní po expiraciZáruka / support: NS-NAS01detail →47 dníObnova licence: Bitwarden (správce hesel)detail →60 dníKonec podpory: Windows Server 2022detail →66 dníDoména novak-syn-shop.czdetail →93 dníZáruka / support: NS-BCK01detail →

Jak číst tento dokument

Tento dokument je jedna stránka: všechno, co potřebuje cizí technik, aby do 48 hodin převzal provoz — a co potřebuje vedení firmy, aby vědělo, co vlastní.

Nekreslil ho člověk: generuje se ze strojově čitelných zdrojových dat (seed-data.json), takže po každé změně prostředí stačí dokument přegenerovat — a je zase aktuální.

Text je psaný pro běžného čtenáře; technické detaily (porty, protokoly) najdete v bublinách po najetí myší a v drobném písmu.

01Profil prostředí

Jeden areál + cloud. Interní správce IT: Martin Doubek. Externí dodavatel: Nováček IT s.r.o. (pohotovost 24/7).

zaměstnanců a uživatelů

počítače a notebooky ve správě Intune

serverů a síťových prvků

provozovaných systémů

síťových segmentů (VLAN)

zálohovacích úloh

Lokality

Sídlo a výrobní závod — Průmyslová 1420, 537 01 Chrudim (fiktivní adresa) — administrativní budova + výrobní hala; serverovna v přízemí administrativní budovy
Cloud — Microsoft 365 (tenant novaksynvyroba.onmicrosoft.com) + Azure (nesmazatelné úložiště záloh)

Servery a síťové prvky

Zařízení	Typ	IP adresa	Síť (VLAN)	Role
NS-FW01	MikroTik CCR2116	10.10.70.1	Management	firewall a router mezi VLAN; záložní LTE připojení
NS-SW01	MikroTik CRS326-24S+	10.10.70.2	Management	hlavní switch — serverovna
NS-SW02	MikroTik CRS326-24G	10.10.70.3	Management	switch — administrativní budova
NS-SW03	MikroTik CRS112-8P	10.10.70.4	Management	switch — výrobní hala (PoE pro kamery a AP)
NS-AP01–04	MikroTik cAP ax (4 ks)	10.10.70.11–14	Management	Wi-Fi — SSID NovakSyn (interní) a NovakSyn-guest
NS-HV01	Dell PowerEdge R450	10.10.10.5	Servery	Hyper-V hostitel 1 (VM: DC01, ERP01)
NS-HV02	Dell PowerEdge R450	10.10.10.6	Servery	Hyper-V hostitel 2 (VM: DC02, SQL01, SYNC)
NS-DC01	VM — Windows Server 2022	10.10.10.11	Servery	řadič domény, DNS, DHCP
NS-DC02	VM — Windows Server 2022	10.10.10.12	Servery	druhý řadič domény, DNS
NS-SQL01	VM — WS 2022 + SQL Server 2022	10.10.10.21	Servery	databáze ERP
NS-ERP01	VM — Windows Server 2022	10.10.10.22	Servery	aplikační server ERP + modul docházky
NS-SYNC	VM — Windows Server 2022	10.10.10.15	Servery	Entra Connect — synchronizace AD do Microsoft 365
NS-NAS01	Synology RS1221+	10.10.10.31	Servery	sdílené soubory
NS-BCK01	Dell PowerEdge T350	10.10.60.11	Zálohy	zálohovací server (Veeam B&R + Veeam for M365)
NS-NAS-BCK	Synology DS923+	10.10.60.21	Zálohy	druhé zálohovací médium
NS-NVR01	NVR — 14 kamer	10.10.50.11	Kamery	kamerový záznam (uchování 30 dní)
NS-UPS01	APC Smart-UPS SRT 3000	10.10.70.21	Management	záložní napájení serverovny (autonomie ~20 min)

zdroj: seed-data.json → devices, vlans

02Síťová matice — kdo smí kam

Řádek = odkud, sloupec = kam. Každá tečka je jedna povolená kategorie provozu — najetím myší zobrazíte porty a účel. Prázdné pole znamená: spojení je zakázáno (default deny) — firewall pouští jen to, co je v této matici.

	Servery	Kanceláře	Zálohy	INTERNET
Servery10.10.10.0/24			✕
Kanceláře10.10.20.0/24
Výroba/OT10.10.30.0/24				✕
Tisk10.10.40.0/24
Kamery10.10.50.0/24				✕
Zálohy10.10.60.0/24
Management10.10.70.0/24
Guest10.10.80.0/24	✕	✕

Identita a jména (AD, DNS)Soubory (SMB)ERP a databázeTisk a skenováníZálohováníSpráva a dohledInternet a cloud (HTTPS)Kameryuvnitř jedné sítě✕výslovně zakázánotok neověřenprázdné pole = zakázáno (default deny)

Proč na tom záleží: Všimněte si: servery nesmí samy iniciovat spojení do zálohovací sítě (v matici červené ✕). Zálohovací server si data stahuje sám — ransomware, který by ovládl servery, se tak k zálohám nedostane. A nesmazatelná kopie v Azure je pojistka i proti smazání s admin oprávněními.

zdroj: seed-data.json → flows, drops

03Síťový diagram

Stejná data jako matice, jen jako mapa. Najetím na segment nebo linku zvýrazníte související komunikaci; kliknutím na položku legendy kategorii skryjete.

Identita a jména (AD, DNS)Soubory (SMB)ERP a databázeTisk a skenováníZálohováníSpráva a dohledInternet a cloud (HTTPS)Kamery

čárkovaně = tok zatím neověřenčervený obrys = segment nesmí sám iniciovat žádné spojení mimo svou síťšipka = kdo spojení navazuje

zdroj: seed-data.json → vlans, flows

04Inventář systémů

Každý systém má vlastníka na straně firmy (kdo o něm rozhoduje) a správce (kdo se o něj stará). Bez vlastníka je systém sirotek — nikdo neví, jestli ho firma ještě potřebuje.

Systém	K čemu slouží	Kde běží	Vlastník (firma)	Spravuje	Dokumentace
ERP Helios Orange	výroba, sklad, fakturace, účetnictví	NS-ERP01 + NS-SQL01	Jana Melicharová (ekonomka)	Martin Doubek + servisní smlouva s dodavatelem ERP	SharePoint → IT dokumentace → ERP.md
Microsoft 365 Business Premium	pošta, Teams, SharePoint/OneDrive, Intune, Defender	cloud — tenant novaksynvyroba.onmicrosoft.com	Petr Havlena (jednatel)	Martin Doubek + Nováček IT (delegovaný přístup GDAP)	SharePoint → IT dokumentace → M365.md
Active Directory (Novák & Syn)	účty, přihlašování do počítačů, firemní zásady	NS-DC01 + NS-DC02	Petr Havlena (jednatel)	Martin Doubek	SharePoint → IT dokumentace → AD.md
Sdílené soubory	dokumenty, výkresy, data úseků	NS-NAS01	vedoucí úseků	Martin Doubek	SharePoint → IT dokumentace → NAS.md
Zálohování (Veeam B&R + for M365)	zálohy serverů, NAS i cloudu	NS-BCK01	Petr Havlena (jednatel)	Martin Doubek; kontrola: Nováček IT	SharePoint → IT dokumentace → Zalohy.md
Docházkový systém	docházka, podklady pro mzdy	terminály u vchodů + modul na NS-ERP01	Jana Melicharová	dodavatel docházky (servisní smlouva)	SharePoint → IT dokumentace → Dochazka.md
Kamerový systém	záznam areálu — 14 kamer, uchování 30 dní	NS-NVR01	Petr Havlena (jednatel)	dodavatel zabezpečení (servisní smlouva)	SharePoint → IT dokumentace → Kamery.md
Firemní web	www.novak-syn.cz — prezentace firmy	externí hosting (WordPress)	Lucie Vávrová (obchod)	webové studio (smlouva)	SharePoint → IT dokumentace → Web.md
Mzdy	zpracování mezd	externě — účetní firma	Jana Melicharová	účetní firma	SharePoint → IT dokumentace → Mzdy.md

zdroj: seed-data.json → systems

05Expirace a životní cyklus

Dokumentace nesleduje jen to, co firma MÁ, ale i to, co jí tiše VYPRŠÍ: domény, certifikáty, licence, záruky, podporu softwaru i servisní smlouvy. Expirace nebolí — do dne, kdy něco propadne. Je to platební kontinuita (oblast 9 checklistu) v praxi: každá položka má termín, počet zbývajících dní a jméno toho, kdo platí.

Kdo to hlídá: Upomínky ke všem službám chodí na sdílenou schránku it@novak-syn.cz a termíny drží sdílený kalendář „IT expirace“ (hlídají J. Melicharová + M. Doubek) s připomínkou 60, 30 a 7 dní předem. Žádná kritická služba nevisí na osobní kartě ani soukromém e-mailu.

Domény — všechny, ne jen ta hlavní

Doména	K čemu slouží	Registrátor	Expirace	Zbývá	Auto-obnova	Platí	Poznámka
novak-syn.cz	hlavní doména — web, e-mail, přihlašování do služeb	český registrátor — účet firmy (it@)	4. 3. 2027	202 dní	ano	firemní karta	držitel: Výroba Novák & Syn s.r.o., IČO 12345678 — ověřeno výpisem WHOIS 12. 6. 2026
novaksyn.cz	obranná registrace — přesměrování na hlavní web	týž registrátor	2. 12. 2026	110 dní	ano	firemní karta
novak-syn-shop.cz	pilot e-shopu (2024) — dnes nevyužitá	týž registrátor	19. 10. 2026	66 dní	NE	firemní karta	rozhodnout do září: prodloužit (drží značku), nebo nechat propadnout
presna-mechanika.cz	z akvizice Přesná mechanika s.r.o. (2021) — stále chodí pošta od starých zákazníků	jiný registrátor — účet převeden na firmu 2022	30. 6. 2027	320 dní	ano	firemní karta	držet minimálně do 2028, pak vyhodnotit

TLS certifikáty

Certifikát / kde	Vydavatel	Expirace	Zbývá	Kdo řeší
www.novak-syn.cz (web)	Let's Encrypt (přes hosting)	obnovuje se automaticky à 90 dní	—	hlídá hosting; kontrola při pololetní revizi
vpn.novak-syn.cz (SSTP VPN na NS-FW01)	veřejná CA — roční certifikát	22. 1. 2027	161 dní	obnovuje M. Doubek — úkol v kalendáři „IT expirace“
erp.ad.novak-syn.cz (web modul ERP, intranet)	self-signed	1. 3. 2028	565 dní	nahradit důvěryhodným certifikátem při upgrade ERP (Q4 2026)
Microsoft 365 (pošta, přihlašování)	spravuje Microsoft	bez akce firmy	—	—

SaaS a licence — včetně toho, komu jsou přiřazené

Služba	Typ licence	Ks	Komu přiřazeno	Obnova / závazek	Zbývá	Platí	Poznámka
Microsoft 365 Business Premium	na uživatele	45	všichni zaměstnanci — skupina LIC-M365-BP (dynamická)	31. 1. 2027 (roční závazek)	170 dní	faktura — CSP Nováček IT	tenant i data vlastní firma; GDAP lze kdykoli odebrat
Microsoft Defender for Business	součást Business Premium	45	všechna zařízení ve správě Intune	s licencí M365	—	—	EDR/antivir — bez samostatné platby
Power BI Pro	na uživatele	3	P. Havlena, J. Melicharová, T. Hruška	měsíčně, bez závazku	—	faktura — CSP
Adobe Acrobat Standard	na uživatele	4	skupina LIC-Acrobat (ekonomika + obchod)	15. 2. 2027 (roční)	185 dní	firemní karta
Bitwarden (správce hesel)	organizace	8	vedení + IT — kolekce dle úseků	30. 9. 2026 (roční)	47 dní	firemní karta	vlastník organizace: firma (jednatel + IT)
ERP Helios Orange — maintenance	souběžní uživatelé	20	výroba, sklad, ekonomika — jmenný seznam v ERP.md	31. 12. 2026 (roční)	139 dní	faktura	podpora + aktualizace; upgrade Q4 2026
Veeam Data Platform	instance (VUL)	10	servery + NAS — úlohy viz DR karta	15. 5. 2027 (roční)	274 dní	faktura
Azure — nesmazatelné úložiště záloh	dle spotřeby	—	zálohovací úlohy č. 3 a 4	průběžně (měsíčně)	—	firemní karta	nezměnitelnost (immutability) 30 dní
Webhosting	balíček	1	firemní web	28. 2. 2027 (roční)	198 dní	firemní karta
Docházkový systém	na terminál	3	terminály u vchodů	servisní smlouva — viz Servis a pojištění	—	faktura

Hardware — záruky a support

Zařízení	Model	Sériové číslo	Support / záruka	Do kdy	Zbývá	Plán
NS-HV01	Dell PowerEdge R450	ST 7GX2Q34	Dell ProSupport NBD	30. 9. 2027	412 dní	prodloužit o 2 roky při obnově smlouvy
NS-HV02	Dell PowerEdge R450	ST 7GX2Q41	Dell ProSupport NBD	30. 9. 2027	412 dní	prodloužit o 2 roky při obnově smlouvy
NS-BCK01	Dell PowerEdge T350	ST JW4T2P3	Dell Basic NBD	15. 11. 2026	93 dní	povýšit na ProSupport — nabídka poptána
NS-NAS01	Synology RS1221+	SN 2150SGR445901	záruka výrobce	30. 6. 2026	45 dní po expiraci	po záruce — výměna plánována Q2 2027, nabídka u dodavatele
NS-NAS-BCK	Synology DS923+	SN 2320TQK118002	záruka výrobce	10. 2. 2028	545 dní	—
NS-FW01	MikroTik CCR2116	SN D4E8-9F21	záruka	22. 4. 2027	251 dní	při poruše náhrada do 24 h od dodavatele; konfigurace se exportuje denně
NS-UPS01	APC Smart-UPS SRT 3000	SN AS2405123456	záruka výrobce	15. 5. 2027	274 dní	výměna baterií 5/2028 (po 4 letech) — viz Servis a pojištění

Konec podpory softwaru

Software	Kde běží	Konec podpory	Zbývá	Dále	Plán
Windows Server 2022	NS-DC01/02, SQL01, ERP01, SYNC	13. 10. 2026 konec běžné (mainstream) podpory	60 dní	rozšířená podpora do 14. 10. 2031	v pořádku — bezpečnostní záplaty běží dál; upgrade OS při obnově serverů (2028)
SQL Server 2022	NS-SQL01	11. 1. 2028 konec běžné podpory	515 dní	rozšířená podpora do 11. 1. 2033	v pořádku
Windows 11 Pro 25H2	41 počítačů	12. 10. 2027 konec podpory verze	424 dní	verze se obnovuje ročně	Intune povyšuje verze automaticky
ERP Helios Orange 2024.2	NS-ERP01	31. 12. 2026 konec podpory dodavatele	139 dní	—	upgrade na novou verzi naplánován Q4 2026
MikroTik RouterOS 7	firewall, switche, AP	průběžné aktualizace	—	—	kontrola firmware při kvartální údržbě
Synology DSM 7.2	NS-NAS01, NS-NAS-BCK	průběžné aktualizace	—	—	kontrola firmware při kvartální údržbě

Konektivita, servis a pojištění

Smlouva / servis	Dodavatel	Termín / závazek	Zbývá	Platí	Poznámka
Internet — optika 500/500 Mb/s	poskytovatel připojení	na neurčito, výpověď 3 měsíce	—	faktura
Záložní LTE připojení	mobilní operátor	závazek do 30. 6. 2027	320 dní	faktura	přepnutí testováno 9. 2. 2026
Mobilní tarify (18 SIM)	mobilní operátor	rámcová smlouva do 31. 3. 2027	229 dní	faktura
UPS — servis a baterie	servisní partner	roční prohlídka — poslední 6. 5. 2026, další 5/2027	—	faktura	výměna baterií 5/2028 (po 4 letech)
Klimatizace serverovny — servis	servisní firma	roční servis — poslední 12. 5. 2026, další 5/2027	—	faktura
Leasing multifunkčních tiskáren (3 ks)	leasingová společnost	smlouva do 30. 9. 2027	412 dní	faktura	před koncem rozhodnout: odkup / výměna
Kybernetické pojištění	pojišťovna	obnova 1. 4. 2027 — limit plnění 10 mil. Kč	230 dní	faktura	pojišťovna vyžaduje MFA, zálohy a testy obnovy — dokládá se touto dokumentací; podporovaný software je podmínka plnění
IT dodavatel — servisní smlouva (Nováček IT)	Nováček IT s.r.o.	na neurčito — exit 60 dní, zafixované sazby (čl. 12)	—	faktura měsíčně	pohotovost 24/7: +420 555 000 111

zdroj: seed-data.json → lifecycle (sloupec „Zbývá“ se počítá z data generování v meta — deterministicky)

06Mapa identit — AD ⇄ Microsoft 365

Active Directory (ve firmě)

ad.novak-syn.cz · NetBIOS Novák & Syn · NS-DC01, NS-DC02

45 uživatelských účtů
7 servisních účtů
4 admin účtů (adm-*)

⇄Entra Connect v2
každých 30 minut
na NS-SYNC

Microsoft 365 / Entra ID (cloud)

novaksynvyroba.onmicrosoft.com

45 uživatelů s licencí Microsoft 365 Business Premium
3 hosté (externí účetní firma, dodavatel ERP)

synchronizace hesel (password hash sync) — přihlášení do cloudu funguje i při výpadku firemních serverů. samoobslužný reset hesla se zápisem zpět do AD — zapnuto.

Synchronizuje se

OU Uzivatele (45 účtů)
OU Skupiny

Nesynchronizuje se

servisní účty
admin účty (adm-*)
OU Vyrazene

Privilegované role — kdo drží klíče

Role	Kdo	Poznámka
Global Administrator (Microsoft 365)	bg-admin-01, bg-admin-02 (nouzové) · adm.doubek (Martin Doubek)	adm.doubek je samostatný admin účet jen v cloudu — Martin ho nepoužívá k běžné práci
Domain Admins (Active Directory)	adm-doubek (Martin Doubek) · adm-onovacek (Ondřej Nováček, dodavatel)	oba jmenovité účty — žádný sdílený „administrator“ pro běžnou práci
Delegovaný přístup dodavatele (GDAP)	Nováček IT s.r.o. — role User Administrator, Exchange Administrator, Intune Administrator	bez role Global Administrator; firma může delegování kdykoli jednostranně odebrat
Nouzový účet do AD (on-prem)	nouzovy-admin (člen Domain Admins)	heslo v zapečetěné obálce v trezoru; obměna po každém použití

Politiky podmíněného přístupu (Conditional Access)

Politika	Co dělá	Stav	Výjimky
CA01 — MFA pro všechny uživatele	každé přihlášení potvrzuje druhý faktor (aplikace Authenticator)	Zapnuto	bg-admin-01/02 (mají vlastní klíče FIDO2)
CA02 — Blokace zastaralých protokolů	staré způsoby přihlášení bez podpory MFA (IMAP/POP/SMTP basic) jsou zakázané	Zapnuto	bez výjimek
CA03 — Firemní data jen ze spravovaných zařízení	počítač musí být ve správě Intune a „v pořádku“ (compliant)	Zapnuto	mobily: jen aplikace s ochranou dat (app protection)
CA04 — Geoblokace	přihlášení ze zemí mimo EU je blokované	Zapnuto	služební cesty — dočasná výjimka na žádost
CA05 — Admini jen s klíčem FIDO2	privilegované role vyžadují phishing-odolné přihlášení hardwarovým klíčem	Zapnuto	bg-admin-01/02 (vyňaty ze všech politik, klíče FIDO2 mají)
CA06 — Registrace MFA jen z důvěryhodného místa	nový druhý faktor lze zaregistrovat jen z firemní sítě nebo spravovaného zařízení	Zapnuto	bez výjimek

zdroj: seed-data.json → identity

07Break-glass runbook — nouzový přístup

Nouzové účty „rozbijte sklo v případě nouze“ — cesta do Microsoft 365 pro den, kdy správce IT není k dispozici. Dva čistě cloudové účty s rolí Global Administrator, přihlášení výhradně hardwarovým klíčem FIDO2, vyňaté ze všech politik podmíněného přístupu.

bg-admin-01@novaksynvyroba.onmicrosoft.comjen cloud, Global Administrator, bez licence · FIDO2 klíč č. 1 (YubiKey 5 NFC)

bg-admin-02@novaksynvyroba.onmicrosoft.comjen cloud, Global Administrator, bez licence · FIDO2 klíč č. 2 (YubiKey 5 NFC)

Kde jsou klíče

Klíč	Umístění	Kdo se k němu dostane
FIDO2 klíč č. 1	trezor v kanceláři jednatele (s obálkou s PIN)	Petr Havlena (jednatel), Jana Melicharová
FIDO2 klíč č. 2	bankovní schránka — pobočka banky, Chrudim	Petr Havlena; zmocnění: Jana Melicharová

Postup krok za krokem

Ověřte, že jde o nouzi: správce IT je nedostupný a je potřeba zásah v Microsoft 365 — obnovit přístup, zablokovat útočníka, zprovoznit službu.
Vyzvedněte FIDO2 klíč č. 1 z trezoru v kanceláři jednatele. Pokud není dostupný, klíč č. 2 je v bankovní schránce.
Na počítači otevřete admin.microsoft.com a přihlaste se jako bg-admin-01@novaksynvyroba.onmicrosoft.com — zvolte „Přihlásit se bezpečnostním klíčem“ a přiložte klíč (PIN je v zapečetěné obálce u klíče).
Automaticky odejde upozornění jednateli a na it@ — to je v pořádku, nic nerušte.
Proveďte jen nezbytný zásah. Neměňte nic nad rámec nouze; když si nejste jistí, volejte pohotovost dodavatele: Nováček IT s.r.o., +420 555 000 111.
Po zásahu: klíč vraťte, obálku s PIN nahraďte novou, zapište zásah do deníku (SharePoint → IT dokumentace → Deník zásahů) a do 24 hodin informujte správce IT nebo dodavatele — posoudí, zda účet a klíč obměnit.

Upozornění na přihlášení: Každé přihlášení nouzovým účtem pošle okamžité upozornění na jednatel@novak-syn.cz a it@novak-syn.cz. Upozornění se testuje spolu s účty.

Poslední test: 15. 7. 2026 — oba účty: přihlášení klíčem, kontrola upozornění — OK (zápis v deníku). Příští test: 13. 10. 2026 (každých 90 dní + po každé personální změně v IT).

zdroj: seed-data.json → break_glass

08Zálohy a plán obnovy (DR karta)

Jak zálohujeme: Pravidlo 3-2-1: tři kopie dat, dvě různá média, jedna mimo firmu — a navrch jedna nesmazatelná. K zálohám má přístup IT, které je spravuje — a vedle toho i jednatel vlastním účtem (konzole Veeam i Azure). Nesmazatelná kopie není o přístupu, ale o mazání: po zapsání ji 30 dní nesmaže nikdo — ani správce, ani útočník s admin heslem.

Zálohovací úlohy

Úloha	Co	Kam	Kdy	Uchování	Nesmazatelná	Poslední úspěch
VM + NAS — lokální	všechny VM z NS-HV01/02 + sdílené složky NAS	NS-BCK01	denně 22:00	30 dní	—	13. 8. 2026 22:41 — OK
Kopie na druhé médium	kopie úlohy č. 1	NS-NAS-BCK	denně 03:00	30 dní	—	14. 8. 2026 03:12 — OK
Offsite — nesmazatelná	VM + NAS	Azure Blob (nezměnitelnost 30 dní)	denně 04:30	30 dní + 12 měsíčních	ano	14. 8. 2026 05:03 — OK
Microsoft 365	Exchange, SharePoint, OneDrive, Teams	NS-BCK01 + kopie do Azure	denně 20:00	1 rok	ano	13. 8. 2026 20:37 — OK

Zkušební obnovy — důkaz, že zálohy fungují

Zelená kontrolka říká jen to, že běží úloha. Tady je zapsáno, kdy se naposledy něco skutečně obnovilo.

Typ	Datum	Co se obnovovalo	Výsledek	Příští
Měsíční vzorek	5. 8. 2026	obnova 3 náhodných souborů z NAS	OK, 12 minut	5. 9. 2026
Kvartální aplikace	18. 6. 2026	obnova databáze ERP do testovací VM	OK, 74 minut	18. 9. 2026
Roční úplná zkouška	21. 3. 2026	obnova DC + ERP + souborů do izolované sítě	OK, 6 h 20 min	21. 3. 2027

Scénáře havárií

Scénář	Co uděláme	RTO	RPO	Naposledy testováno
Výpadek jedné VM nebo služby	obnova z lokální zálohy na NS-BCK01 (runbook R1)	4 h	24 h	18. 6. 2026 — obnova databáze ERP, 74 min
Ransomware — zašifrování serverů	odpojit síť, nic neplatit, obnova z nesmazatelné kopie v Azure (runbook R2)	24–48 h	24 h	21. 3. 2026 — cvičení u stolu + zkušební obnova
Zničení serverovny (požár, voda)	náhradní hardware / dočasný provoz v Azure, obnova z cloudové kopie (runbook R3)	5 pracovních dní	24 h	21. 3. 2026 — cvičení u stolu
Výpadek internetu	automatické přepnutí firewallu na záložní LTE	15 min	—	9. 2. 2026 — ostrý test přepnutí
Správce IT nedostupný	nouzový účet break-glass (kapitola výše) + dodavatel Nováček IT převezme podle této dokumentace	24 h	—	15. 7. 2026 — test nouzového účtu

Vytištěná kopie DR plánu: trezor v kanceláři jednatele + doma u jednatele. Plán znají: Petr Havlena, Martin Doubek, Jana Melicharová. Pohotovost dodavatele: Nováček IT s.r.o., +420 555 000 111 (24/7).

Poslední cvičení „u stolu“: 21. 3. 2026 — scénář: správce IT ráno nedostupný a v noci proběhlo šifrování serverů. Další cvičení: březen 2027.

zdroj: seed-data.json → backup, dr

09Evidence kritických přístupů — vyplněná

Vyplněná podoba vzoru „Evidence kritických přístupů“ z checklistu Přežije vaše firma odchod svého ajťáka? — deset oblastí, které vlastní firma, ne člověk. U každé položky: kde to je, kdo se k tomu dostane a kdy se naposledy ověřilo, že to funguje.

FirmaVýroba Novák & Syn s.r.o.

Vyplnil/aMartin Doubek (generováno ze zdrojových dat, zkontroloval)

Datum vyplnění14. 8. 2026

Příští revize14. 2. 2027

Zásada č. 1: Kopie této evidence nesmí ležet jen na serveru, který popisuje. Vytištěná kopie: trezor v kanceláři jednatele; druhá kopie: bankovní schránka. Po každém přegenerování dokumentace se obě kopie mění za aktuální.

1. Domény a DNS kritická oblast

Doména nese web, poštu i přihlašování do většiny služeb. Držitelem musí být firma (IČO), ne člověk.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Účet u registrátora domény (novak-syn.cz)	Bitwarden — kolekce „Firma – kritické“	jednatel, M. Doubek	12. 6. 2026	12. 6. 2027
Držitel domény ve výpisu WHOIS	Výroba Novák & Syn s.r.o., IČO 12345678 — výpis: SharePoint → IT dokumentace → Doména	výpis je veřejný	12. 6. 2026	12. 6. 2027
DNS hosting (kde jsou záznamy domény)	u registrátora; export záznamů: SharePoint → IT dokumentace → DNS.md	M. Doubek, Nováček IT	12. 6. 2026	12. 6. 2027
Expirace domény a z čí karty se platí	4. 3. 2027 — firemní karta; viz kapitola Expirace a životní cyklus	J. Melicharová (karta)	12. 6. 2026	12. 6. 2027
Kontaktní e-mail u registrátora	it@novak-syn.cz (sdílená schránka, ne osobní)	jednatel, M. Doubek, Nováček IT	12. 6. 2026	12. 6. 2027

2. Vlastnictví tenantu a licencí kritická oblast

Tenant — prostředí Microsoft 365 — i data jsou firmy. Jednatel se umí přihlásit do administrace i bez dodavatele.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Přihlášení jednatele do administrace Microsoft 365	havlena@novak-syn.cz — role Global Reader (vidí vše, nemění nic; zásah řeší break-glass)	Petr Havlena	20. 5. 2026	20. 5. 2027
Seznam globálních administrátorů	kapitola Mapa identit tohoto dokumentu (generováno)	vedení + IT	14. 8. 2026	14. 2. 2027
Smlouva s partnerem (CSP) a výpis jeho oprávnění	SharePoint → Smlouvy → Nováček IT; oprávnění GDAP v kapitole Mapa identit	jednatel, J. Melicharová	20. 5. 2026	20. 5. 2027
Přehled licencí a datum obnovy předplatných	45× Business Premium, obnova 31. 1. 2027 — kapitola Expirace a životní cyklus (vč. přiřazení licencí)	jednatel, M. Doubek	20. 5. 2026	20. 5. 2027

3. Dokumentace systémů

Měřítko: cizí technik s ní do 48 hodin převezme provoz. Kopie patří mimo systémy, které popisuje.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Inventura systémů (co všechno ve firmě běží)	tento dokument — kapitola Inventář systémů (generováno ze seed-data.json)	vedení + IT	14. 8. 2026	14. 2. 2027
Síťové schéma	tento dokument — Síťová matice a Síťový diagram (generováno)	vedení + IT	14. 8. 2026	14. 2. 2027
Seznam admin účtů a jejich vlastníků	tento dokument — kapitola Mapa identit	vedení + IT	14. 8. 2026	14. 2. 2027
Kontakty na dodavatele	kapitoly Inventář systémů a DR karta	vedení + IT	14. 8. 2026	14. 2. 2027
Postup obnovy krok za krokem	runbooky R1–R3: SharePoint → IT dokumentace → DR; souhrn v kapitole DR karta	IT; tištěná kopie u jednatele	21. 3. 2026	21. 3. 2027
Kopie dokumentace mimo popisované systémy	PDF export: trezor + bankovní schránka; obměna po každém přegenerování	jednatel	14. 8. 2026	14. 2. 2027

4. Nouzové admin účty kritická oblast

Break-glass — cesta do Microsoft 365, i když admin zítra nepřijde. Podrobný postup: kapitola Break-glass runbook.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Nouzový účet č. 1 (přihlašovací jméno)	bg-admin-01@novaksynvyroba.onmicrosoft.com	držitelé klíče č. 1	15. 7. 2026	13. 10. 2026
Nouzový účet č. 2 (přihlašovací jméno)	bg-admin-02@novaksynvyroba.onmicrosoft.com	držitelé klíče č. 2	15. 7. 2026	13. 10. 2026
Hardwarový klíč FIDO2 č. 1 — umístění	trezor v kanceláři jednatele (+ zapečetěná obálka s PIN)	P. Havlena, J. Melicharová	15. 7. 2026	13. 10. 2026
Hardwarový klíč FIDO2 č. 2 — druhé, oddělené místo	bankovní schránka, pobočka Chrudim	P. Havlena	15. 7. 2026	13. 10. 2026
Upozornění na každé přihlášení — kam chodí	e-mail jednateli + it@ (okamžitě)	—	15. 7. 2026	13. 10. 2026

5. Zálohy s vlastním přístupem kritická oblast

Tři kopie, dvě média, jedna mimo firmu — a navrch jedna nesmazatelná. IT k zálohám přístup má; má ho i jednatel.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Co všechno se zálohuje (seznam dat a systémů)	tabulka Zálohovací úlohy v tomto dokumentu (generováno)	IT + jednatel	14. 8. 2026	14. 2. 2027
Kde zálohy leží (média a lokality)	NS-BCK01, NS-NAS-BCK, Azure (mimo firmu)	IT + jednatel	5. 8. 2026	5. 9. 2026
Nesmazatelná (immutable) kopie — kde je	Azure Blob — nezměnitelnost 30 dní	IT + jednatel (vlastní účet)	18. 6. 2026	18. 9. 2026
Vlastní přístup firmy k zálohám	jednatel má vlastní účet do konzole Veeam i do Azure	Petr Havlena	5. 8. 2026	5. 9. 2026
Heslo či klíč k dešifrování záloh	zapečetěná obálka v trezoru; zná i jednatel (mimo IT)	P. Havlena + IT	3. 4. 2026	3. 10. 2026
Zápis o poslední zkušební obnově	tabulka Zkušební obnovy + deník na SharePointu	IT + jednatel	5. 8. 2026	5. 9. 2026

6. Plán obnovy po havárii

Kdo, co a v jakém pořadí obnovuje — dostupné i při výpadku IT, vytištěné, znají ho aspoň dva lidé.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Písemný plán obnovy (DR) — vytištěná kopie	trezor v kanceláři jednatele	P. Havlena, J. Melicharová	21. 3. 2026	21. 3. 2027
Kopie plánu mimo firmu	doma u jednatele + bankovní schránka	P. Havlena	21. 3. 2026	21. 3. 2027
Kdo plán zná (aspoň dva lidé)	P. Havlena, M. Doubek, J. Melicharová	—	21. 3. 2026	21. 3. 2027
Zápis z posledního cvičení „u stolu“	SharePoint → IT dokumentace → DR → cvičení 2026	vedení	21. 3. 2026	21. 3. 2027

7. Správa hesel a úschova přístupů

Trezory s hesly vlastní firma, ne hlava jednoho člověka — a nad tím nouzový mechanismus.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Firemní správce hesel — kdo vlastní trezory	Bitwarden — organizace Novák & Syn (vlastník: firma; správci: jednatel + M. Doubek)	všichni dle kolekcí	1. 7. 2026	1. 10. 2026
Zapečetěná obálka v trezoru — datum poslední obměny	trezor v kanceláři jednatele	P. Havlena, J. Melicharová	3. 4. 2026	3. 10. 2026
Nouzový přístup (Bitwarden Emergency Access)	P. Havlena je nouzový kontakt účtu M. Doubka (čekací lhůta 3 dny)	Petr Havlena	1. 7. 2026	1. 10. 2026
Úschova u třetí strany (escrow)	nezavedena — pokryto obálkou a nouzovým přístupem	—	—	—

8. Smlouva s IT dodavatelem

Kontinuita se vyjednává, dokud je vztah dobrý. Přístupy a dokumentace se předávají průběžně, ne až při rozchodu.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Smlouva s dodavatelem IT — kde je uložená	SharePoint → Smlouvy → Nováček IT s.r.o.	jednatel, J. Melicharová	20. 5. 2026	20. 5. 2027
Doložka: data, zálohy i dokumentace patří klientovi	čl. 7 smlouvy — výslovně	—	20. 5. 2026	20. 5. 2027
Součinnost při ukončení (lhůta, sazby)	čl. 12 — 60 dní, zafixované sazby	—	20. 5. 2026	20. 5. 2027
Poslední průběžné předání přístupů a dokumentace	14. 8. 2026 — přegenerování této dokumentace + namátková kontrola přístupů	jednatel	14. 8. 2026	14. 2. 2027

9. Platební kontinuita

Expirace nebolí — do dne, kdy certifikát propadne. Vše na firemní kartu a e-mail na roli, ne na osobu.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Domény — z čí karty se platí, kdy expirují	kapitola Expirace a životní cyklus — všechny 4 domény (firemní karta)	J. Melicharová	12. 6. 2026	12. 12. 2026
Certifikáty — kdo obnovuje, kdy expirují	web: Let's Encrypt, obnovuje se automaticky; hlídá hosting	—	12. 6. 2026	12. 12. 2026
Hosting a další klíčové služby — z čí karty	vše firemní karta nebo faktura; žádná osobní karta	J. Melicharová	12. 6. 2026	12. 12. 2026
E-mail pro upomínky (role, ne osobní schránka)	it@novak-syn.cz (sdílená schránka)	IT + ekonomka	12. 6. 2026	12. 12. 2026
Kalendář expirací — kdo ho hlídá	sdílený kalendář „IT expirace“ v Microsoft 365	J. Melicharová + M. Doubek	12. 6. 2026	12. 12. 2026

10. Offboarding a rotace tajemství

Při každém odchodu z IT: privilegované přístupy zrušit do hodiny, sdílená hesla a klíče vyměnit.

Co	Kde je to uložené	Kdo má přístup	Naposledy testováno	Příští test
Sepsaný postup pro odchod člověka z IT	SharePoint → IT dokumentace → Offboarding.md	vedení + IT	30. 6. 2026	při dalším odchodu
Sdílená hesla — seznam k výměně při odchodu	Bitwarden — kolekce označené štítkem „rotace“	IT	30. 6. 2026	při dalším odchodu
API klíče a servisní účty — seznam k výměně	kapitola Mapa identit + dokumentace ERP (Veeam→Azure, docházka→ERP)	IT	30. 6. 2026	při dalším odchodu
Protokol z posledního odchodu	30. 6. 2026 — brigádník (výpomoc IT): účty zrušeny týž den, sdílená hesla obměněna	vedení	30. 6. 2026	—

zdroj: seed-data.json → evidence