{
  "meta": {
    "company": "Výroba Novák & Syn s.r.o.",
    "company_short": "Novák & Syn",
    "ico": "12345678",
    "domain": "novak-syn.cz",
    "tenant": "novaksynvyroba.onmicrosoft.com",
    "generated": "2026-08-14",
    "version": "1.5",
    "doc_title": "IT dokumentace — provozní přehled",
    "disclaimer": "Ukázková dokumentace ICT-GROUP. Výroba Novák & Syn s.r.o. je smyšlená firma — všechna jména, adresy, IP adresy i údaje jsou fiktivní.",
    "about": "Výrobní firma, 45 zaměstnanců, jeden interní správce IT (Martin Doubek) a externí dodavatel (Nováček IT s.r.o.). Prostředí je hybridní: servery ve firmě (Active Directory) + Microsoft 365 v cloudu, propojené synchronizací Entra Connect.",
    "how_to_read": [
      "Tento dokument je jedna stránka: všechno, co potřebuje cizí technik, aby do 48 hodin převzal provoz — a co potřebuje vedení firmy, aby vědělo, co vlastní.",
      "Nekreslil ho člověk: generuje se ze strojově čitelných zdrojových dat (seed-data.json), takže po každé změně prostředí stačí dokument přegenerovat — a je zase aktuální.",
      "Text je psaný pro běžného čtenáře; technické detaily (porty, protokoly) najdete v bublinách po najetí myší a v drobném písmu."
    ]
  },
  "profile": {
    "employees": 45,
    "endpoints": 41,
    "endpoints_note": "počítače a notebooky ve správě Intune",
    "note": "Jeden areál + cloud. Interní správce IT: Martin Doubek. Externí dodavatel: Nováček IT s.r.o. (pohotovost 24/7)."
  },
  "sites": [
    {"name": "Sídlo a výrobní závod", "detail": "Průmyslová 1420, 537 01 Chrudim (fiktivní adresa) — administrativní budova + výrobní hala; serverovna v přízemí administrativní budovy"},
    {"name": "Cloud", "detail": "Microsoft 365 (tenant novaksynvyroba.onmicrosoft.com) + Azure (nesmazatelné úložiště záloh)"}
  ],
  "categories": [
    {"id": "ad",     "label": "Identita a jména (AD, DNS)", "color": "#2a78d6", "color_dark": "#5b9be0"},
    {"id": "file",   "label": "Soubory (SMB)",              "color": "#eb6834", "color_dark": "#f08a5e"},
    {"id": "erp",    "label": "ERP a databáze",             "color": "#1baf7a", "color_dark": "#3fc795"},
    {"id": "print",  "label": "Tisk a skenování",           "color": "#eda100", "color_dark": "#f5b83d"},
    {"id": "backup", "label": "Zálohování",                 "color": "#e87ba4", "color_dark": "#f09cbb"},
    {"id": "mgmt",   "label": "Správa a dohled",            "color": "#4a3aa7", "color_dark": "#7a6cd0"},
    {"id": "web",    "label": "Internet a cloud (HTTPS)",   "color": "#0d8ba3", "color_dark": "#3aacc4"},
    {"id": "cam",    "label": "Kamery",                     "color": "#008300", "color_dark": "#2ea52e"}
  ],
  "vlans": [
    {"id": 10, "name": "Servery",    "subnet": "10.10.10.0/24", "desc": "servery, virtualizace, NAS", "noinit": false},
    {"id": 20, "name": "Kanceláře",  "subnet": "10.10.20.0/24", "desc": "počítače a notebooky zaměstnanců", "noinit": false},
    {"id": 30, "name": "Výroba/OT",  "subnet": "10.10.30.0/24", "desc": "výrobní terminály, stroje, docházkové terminály", "noinit": false},
    {"id": 40, "name": "Tisk",       "subnet": "10.10.40.0/24", "desc": "tiskárny a multifunkce", "noinit": false},
    {"id": 50, "name": "Kamery",     "subnet": "10.10.50.0/24", "desc": "IP kamery + záznamové zařízení (NVR)", "noinit": true},
    {"id": 60, "name": "Zálohy",     "subnet": "10.10.60.0/24", "desc": "zálohovací server a zálohovací NAS", "noinit": false},
    {"id": 70, "name": "Management", "subnet": "10.10.70.0/24", "desc": "správa síťových prvků; jen pracovní stanice IT", "noinit": false},
    {"id": 80, "name": "Guest",      "subnet": "10.10.80.0/24", "desc": "Wi-Fi pro návštěvy — izolovaná, jen internet", "noinit": false, "outside": true}
  ],
  "flows": [
    {"src": "Kanceláře",  "dst": "Servery",    "cat": "ad",     "ports": "TCP/UDP 53, 88, 389, 445, 636", "purpose": "přihlašování do domény, DNS, firemní zásady (GPO)", "confirmed": true},
    {"src": "Kanceláře",  "dst": "Servery",    "cat": "file",   "ports": "TCP 445",             "purpose": "sdílené složky na NS-NAS01", "confirmed": true},
    {"src": "Kanceláře",  "dst": "Servery",    "cat": "erp",    "ports": "TCP 8080",            "purpose": "klient ERP → aplikační server NS-ERP01", "confirmed": true},
    {"src": "Kanceláře",  "dst": "Kamery",     "cat": "cam",    "ports": "TCP 443",             "purpose": "prohlížení záznamů na NS-NVR01 — jen skupina Vedení", "confirmed": true},
    {"src": "Kanceláře",  "dst": "INTERNET",   "cat": "web",    "ports": "TCP 443",             "purpose": "Microsoft 365, web — přes firewall", "confirmed": true},
    {"src": "Výroba/OT",  "dst": "Servery",    "cat": "erp",    "ports": "TCP 8080",            "purpose": "výrobní terminály: odvádění výroby do ERP", "confirmed": true},
    {"src": "Výroba/OT",  "dst": "Servery",    "cat": "ad",     "ports": "UDP 53",              "purpose": "jen DNS (terminály nejsou v doméně)", "confirmed": true},
    {"src": "Tisk",       "dst": "Servery",    "cat": "file",   "ports": "TCP 445",             "purpose": "skenování do sdílené složky (scan-to-folder)", "confirmed": true},
    {"src": "Servery",    "dst": "Tisk",       "cat": "print",  "ports": "TCP 9100, 631",       "purpose": "tiskový server posílá úlohy na tiskárny", "confirmed": true},
    {"src": "Servery",    "dst": "Výroba/OT",  "cat": "print",  "ports": "TCP 9100",            "purpose": "ERP tiskne štítky na štítkovačky ve výrobě — tok hlášen výrobou, ve firewallu zatím neověřen", "confirmed": false},
    {"src": "Servery",    "dst": "INTERNET",   "cat": "web",    "ports": "TCP 443",             "purpose": "aktualizace systémů, synchronizace Entra Connect, Microsoft 365", "confirmed": true},
    {"src": "Zálohy",     "dst": "Servery",    "cat": "backup", "ports": "TCP 445, 10005–10006", "purpose": "NS-BCK01 si stahuje zálohy z hostitelů a NAS (Veeam)", "confirmed": true},
    {"src": "Zálohy",     "dst": "INTERNET",   "cat": "backup", "ports": "TCP 443",             "purpose": "nesmazatelná kopie záloh do Azure", "confirmed": true},
    {"src": "Management", "dst": "Servery",    "cat": "mgmt",   "ports": "TCP 443, 3389, 5985–5986", "purpose": "správa serverů (RDP, WinRM, webové konzole)", "confirmed": true},
    {"src": "Management", "dst": "Kanceláře",  "cat": "mgmt",   "ports": "TCP 3389",            "purpose": "vzdálená pomoc uživatelům", "confirmed": true},
    {"src": "Management", "dst": "Výroba/OT",  "cat": "mgmt",   "ports": "TCP 22, 443",         "purpose": "správa terminálů a strojů", "confirmed": true},
    {"src": "Management", "dst": "Tisk",       "cat": "mgmt",   "ports": "TCP 443",             "purpose": "webová správa tiskáren", "confirmed": true},
    {"src": "Management", "dst": "Kamery",     "cat": "mgmt",   "ports": "TCP 443",             "purpose": "správa NVR a kamer", "confirmed": true},
    {"src": "Management", "dst": "Zálohy",     "cat": "mgmt",   "ports": "TCP 443, 3389",       "purpose": "správa zálohovacího serveru", "confirmed": true},
    {"src": "Management", "dst": "INTERNET",   "cat": "web",    "ports": "TCP 443",             "purpose": "web, stahování aktualizací", "confirmed": true},
    {"src": "Guest",      "dst": "INTERNET",   "cat": "web",    "ports": "TCP 80, 443; UDP 443", "purpose": "jen internet — návštěvy a soukromá zařízení", "confirmed": true}
  ],
  "drops": [
    {"src": "Servery",   "dst": "Zálohy",    "reason": "Produkce nesmí iniciovat spojení do zálohovací sítě — ochrana záloh před ransomwarem. Zálohovací server si data stahuje sám, opačným směrem."},
    {"src": "Kamery",    "dst": "INTERNET",  "reason": "Kamery nesmí komunikovat do internetu („volat domů“)."},
    {"src": "Výroba/OT", "dst": "INTERNET",  "reason": "Výrobní stroje a terminály nemají přímý přístup do internetu; aktualizace řeší IT přes management."},
    {"src": "Guest",     "dst": "Servery",   "reason": "Návštěvnická Wi-Fi je izolovaná od vnitřní sítě."},
    {"src": "Guest",     "dst": "Kanceláře", "reason": "Návštěvnická Wi-Fi je izolovaná od vnitřní sítě."}
  ],
  "network": {
    "matrix_note": "Řádek = odkud, sloupec = kam. Každá tečka je jedna povolená kategorie provozu — najetím myší zobrazíte porty a účel. Prázdné pole znamená: spojení je zakázáno (default deny) — firewall pouští jen to, co je v této matici.",
    "diagram_note": "Stejná data jako matice, jen jako mapa. Najetím na segment nebo linku zvýrazníte související komunikaci; kliknutím na položku legendy kategorii skryjete.",
    "highlight": "Všimněte si: servery nesmí samy iniciovat spojení do zálohovací sítě (v matici červené ✕). Zálohovací server si data stahuje sám — ransomware, který by ovládl servery, se tak k zálohám nedostane. A nesmazatelná kopie v Azure je pojistka i proti smazání s admin oprávněními."
  },
  "devices": [
    {"name": "NS-FW01",    "type": "MikroTik CCR2116",              "ip": "10.10.70.1",     "vlan": "Management", "role": "firewall a router mezi VLAN; záložní LTE připojení"},
    {"name": "NS-SW01",    "type": "MikroTik CRS326-24S+",          "ip": "10.10.70.2",     "vlan": "Management", "role": "hlavní switch — serverovna"},
    {"name": "NS-SW02",    "type": "MikroTik CRS326-24G",           "ip": "10.10.70.3",     "vlan": "Management", "role": "switch — administrativní budova"},
    {"name": "NS-SW03",    "type": "MikroTik CRS112-8P",            "ip": "10.10.70.4",     "vlan": "Management", "role": "switch — výrobní hala (PoE pro kamery a AP)"},
    {"name": "NS-AP01–04", "type": "MikroTik cAP ax (4 ks)",        "ip": "10.10.70.11–14", "vlan": "Management", "role": "Wi-Fi — SSID NovakSyn (interní) a NovakSyn-guest"},
    {"name": "NS-HV01",    "type": "Dell PowerEdge R450",           "ip": "10.10.10.5",     "vlan": "Servery",    "role": "Hyper-V hostitel 1 (VM: DC01, ERP01)"},
    {"name": "NS-HV02",    "type": "Dell PowerEdge R450",           "ip": "10.10.10.6",     "vlan": "Servery",    "role": "Hyper-V hostitel 2 (VM: DC02, SQL01, SYNC)"},
    {"name": "NS-DC01",    "type": "VM — Windows Server 2022",      "ip": "10.10.10.11",    "vlan": "Servery",    "role": "řadič domény, DNS, DHCP"},
    {"name": "NS-DC02",    "type": "VM — Windows Server 2022",      "ip": "10.10.10.12",    "vlan": "Servery",    "role": "druhý řadič domény, DNS"},
    {"name": "NS-SQL01",   "type": "VM — WS 2022 + SQL Server 2022","ip": "10.10.10.21",    "vlan": "Servery",    "role": "databáze ERP"},
    {"name": "NS-ERP01",   "type": "VM — Windows Server 2022",      "ip": "10.10.10.22",    "vlan": "Servery",    "role": "aplikační server ERP + modul docházky"},
    {"name": "NS-SYNC",    "type": "VM — Windows Server 2022",      "ip": "10.10.10.15",    "vlan": "Servery",    "role": "Entra Connect — synchronizace AD do Microsoft 365"},
    {"name": "NS-NAS01",   "type": "Synology RS1221+",              "ip": "10.10.10.31",    "vlan": "Servery",    "role": "sdílené soubory"},
    {"name": "NS-BCK01",   "type": "Dell PowerEdge T350",           "ip": "10.10.60.11",    "vlan": "Zálohy",     "role": "zálohovací server (Veeam B&R + Veeam for M365)"},
    {"name": "NS-NAS-BCK", "type": "Synology DS923+",               "ip": "10.10.60.21",    "vlan": "Zálohy",     "role": "druhé zálohovací médium"},
    {"name": "NS-NVR01",   "type": "NVR — 14 kamer",                "ip": "10.10.50.11",    "vlan": "Kamery",     "role": "kamerový záznam (uchování 30 dní)"},
    {"name": "NS-UPS01",   "type": "APC Smart-UPS SRT 3000",        "ip": "10.10.70.21",    "vlan": "Management", "role": "záložní napájení serverovny (autonomie ~20 min)"}
  ],
  "systems": [
    {"name": "ERP Helios Orange",                 "purpose": "výroba, sklad, fakturace, účetnictví",              "runs_on": "NS-ERP01 + NS-SQL01",                          "owner": "Jana Melicharová (ekonomka)",  "admin": "Martin Doubek + servisní smlouva s dodavatelem ERP", "docs": "SharePoint → IT dokumentace → ERP.md"},
    {"name": "Microsoft 365 Business Premium",    "purpose": "pošta, Teams, SharePoint/OneDrive, Intune, Defender", "runs_on": "cloud — tenant novaksynvyroba.onmicrosoft.com", "owner": "Petr Havlena (jednatel)",      "admin": "Martin Doubek + Nováček IT (delegovaný přístup GDAP)", "docs": "SharePoint → IT dokumentace → M365.md"},
    {"name": "Active Directory (Novák & Syn)",       "purpose": "účty, přihlašování do počítačů, firemní zásady",    "runs_on": "NS-DC01 + NS-DC02",                            "owner": "Petr Havlena (jednatel)",      "admin": "Martin Doubek",                                       "docs": "SharePoint → IT dokumentace → AD.md"},
    {"name": "Sdílené soubory",                   "purpose": "dokumenty, výkresy, data úseků",                    "runs_on": "NS-NAS01",                                      "owner": "vedoucí úseků",                "admin": "Martin Doubek",                                       "docs": "SharePoint → IT dokumentace → NAS.md"},
    {"name": "Zálohování (Veeam B&R + for M365)", "purpose": "zálohy serverů, NAS i cloudu",                      "runs_on": "NS-BCK01",                                      "owner": "Petr Havlena (jednatel)",      "admin": "Martin Doubek; kontrola: Nováček IT",                 "docs": "SharePoint → IT dokumentace → Zalohy.md"},
    {"name": "Docházkový systém",                 "purpose": "docházka, podklady pro mzdy",                       "runs_on": "terminály u vchodů + modul na NS-ERP01",        "owner": "Jana Melicharová",             "admin": "dodavatel docházky (servisní smlouva)",               "docs": "SharePoint → IT dokumentace → Dochazka.md"},
    {"name": "Kamerový systém",                   "purpose": "záznam areálu — 14 kamer, uchování 30 dní",         "runs_on": "NS-NVR01",                                      "owner": "Petr Havlena (jednatel)",      "admin": "dodavatel zabezpečení (servisní smlouva)",            "docs": "SharePoint → IT dokumentace → Kamery.md"},
    {"name": "Firemní web",                       "purpose": "www.novak-syn.cz — prezentace firmy",         "runs_on": "externí hosting (WordPress)",                    "owner": "Lucie Vávrová (obchod)",       "admin": "webové studio (smlouva)",                             "docs": "SharePoint → IT dokumentace → Web.md"},
    {"name": "Mzdy",                              "purpose": "zpracování mezd",                                   "runs_on": "externě — účetní firma",                         "owner": "Jana Melicharová",             "admin": "účetní firma",                                        "docs": "SharePoint → IT dokumentace → Mzdy.md"}
  ],
  "identity": {
    "ad": {
      "domain": "ad.novak-syn.cz",
      "netbios": "Novák & Syn",
      "users": 45,
      "service_accounts": 7,
      "admin_accounts": 4,
      "dcs": "NS-DC01, NS-DC02"
    },
    "entra": {
      "tenant": "novaksynvyroba.onmicrosoft.com",
      "licensed": 45,
      "license": "Microsoft 365 Business Premium",
      "guests": 3,
      "guests_note": "externí účetní firma, dodavatel ERP"
    },
    "sync": {
      "tool": "Entra Connect v2",
      "server": "NS-SYNC",
      "interval": "každých 30 minut",
      "method": "synchronizace hesel (password hash sync) — přihlášení do cloudu funguje i při výpadku firemních serverů",
      "scope_included": ["OU Uzivatele (45 účtů)", "OU Skupiny"],
      "scope_excluded": ["servisní účty", "admin účty (adm-*)", "OU Vyrazene"],
      "sspr": "samoobslužný reset hesla se zápisem zpět do AD — zapnuto"
    },
    "privileged": [
      {"role": "Global Administrator (Microsoft 365)", "who": "bg-admin-01, bg-admin-02 (nouzové) · adm.doubek (Martin Doubek)", "note": "adm.doubek je samostatný admin účet jen v cloudu — Martin ho nepoužívá k běžné práci"},
      {"role": "Domain Admins (Active Directory)",     "who": "adm-doubek (Martin Doubek) · adm-onovacek (Ondřej Nováček, dodavatel)", "note": "oba jmenovité účty — žádný sdílený „administrator“ pro běžnou práci"},
      {"role": "Delegovaný přístup dodavatele (GDAP)", "who": "Nováček IT s.r.o. — role User Administrator, Exchange Administrator, Intune Administrator", "note": "bez role Global Administrator; firma může delegování kdykoli jednostranně odebrat"},
      {"role": "Nouzový účet do AD (on-prem)",         "who": "nouzovy-admin (člen Domain Admins)", "note": "heslo v zapečetěné obálce v trezoru; obměna po každém použití"}
    ],
    "ca_policies": [
      {"name": "CA01 — MFA pro všechny uživatele",           "what": "každé přihlášení potvrzuje druhý faktor (aplikace Authenticator)",                    "state": "Zapnuto", "exceptions": "bg-admin-01/02 (mají vlastní klíče FIDO2)"},
      {"name": "CA02 — Blokace zastaralých protokolů",       "what": "staré způsoby přihlášení bez podpory MFA (IMAP/POP/SMTP basic) jsou zakázané",       "state": "Zapnuto", "exceptions": "bez výjimek"},
      {"name": "CA03 — Firemní data jen ze spravovaných zařízení", "what": "počítač musí být ve správě Intune a „v pořádku“ (compliant)",                   "state": "Zapnuto", "exceptions": "mobily: jen aplikace s ochranou dat (app protection)"},
      {"name": "CA04 — Geoblokace",                          "what": "přihlášení ze zemí mimo EU je blokované",                                            "state": "Zapnuto", "exceptions": "služební cesty — dočasná výjimka na žádost"},
      {"name": "CA05 — Admini jen s klíčem FIDO2",           "what": "privilegované role vyžadují phishing-odolné přihlášení hardwarovým klíčem",          "state": "Zapnuto", "exceptions": "bg-admin-01/02 (vyňaty ze všech politik, klíče FIDO2 mají)"},
      {"name": "CA06 — Registrace MFA jen z důvěryhodného místa", "what": "nový druhý faktor lze zaregistrovat jen z firemní sítě nebo spravovaného zařízení", "state": "Zapnuto", "exceptions": "bez výjimek"}
    ]
  },
  "break_glass": {
    "intro": "Nouzové účty „rozbijte sklo v případě nouze“ — cesta do Microsoft 365 pro den, kdy správce IT není k dispozici. Dva čistě cloudové účty s rolí Global Administrator, přihlášení výhradně hardwarovým klíčem FIDO2, vyňaté ze všech politik podmíněného přístupu.",
    "accounts": [
      {"upn": "bg-admin-01@novaksynvyroba.onmicrosoft.com", "type": "jen cloud, Global Administrator, bez licence", "auth": "FIDO2 klíč č. 1 (YubiKey 5 NFC)"},
      {"upn": "bg-admin-02@novaksynvyroba.onmicrosoft.com", "type": "jen cloud, Global Administrator, bez licence", "auth": "FIDO2 klíč č. 2 (YubiKey 5 NFC)"}
    ],
    "keys": [
      {"key": "FIDO2 klíč č. 1", "where": "trezor v kanceláři jednatele (s obálkou s PIN)",  "access": "Petr Havlena (jednatel), Jana Melicharová"},
      {"key": "FIDO2 klíč č. 2", "where": "bankovní schránka — pobočka banky, Chrudim",      "access": "Petr Havlena; zmocnění: Jana Melicharová"}
    ],
    "steps": [
      "Ověřte, že jde o nouzi: správce IT je nedostupný a je potřeba zásah v Microsoft 365 — obnovit přístup, zablokovat útočníka, zprovoznit službu.",
      "Vyzvedněte FIDO2 klíč č. 1 z trezoru v kanceláři jednatele. Pokud není dostupný, klíč č. 2 je v bankovní schránce.",
      "Na počítači otevřete admin.microsoft.com a přihlaste se jako bg-admin-01@novaksynvyroba.onmicrosoft.com — zvolte „Přihlásit se bezpečnostním klíčem“ a přiložte klíč (PIN je v zapečetěné obálce u klíče).",
      "Automaticky odejde upozornění jednateli a na it@ — to je v pořádku, nic nerušte.",
      "Proveďte jen nezbytný zásah. Neměňte nic nad rámec nouze; když si nejste jistí, volejte pohotovost dodavatele: Nováček IT s.r.o., +420 555 000 111.",
      "Po zásahu: klíč vraťte, obálku s PIN nahraďte novou, zapište zásah do deníku (SharePoint → IT dokumentace → Deník zásahů) a do 24 hodin informujte správce IT nebo dodavatele — posoudí, zda účet a klíč obměnit."
    ],
    "alert": "Každé přihlášení nouzovým účtem pošle okamžité upozornění na jednatel@novak-syn.cz a it@novak-syn.cz. Upozornění se testuje spolu s účty.",
    "last_test": "2026-07-15",
    "last_test_note": "oba účty: přihlášení klíčem, kontrola upozornění — OK (zápis v deníku)",
    "next_test": "2026-10-13",
    "test_rule": "každých 90 dní + po každé personální změně v IT"
  },
  "backup": {
    "strategy": "Pravidlo 3-2-1: tři kopie dat, dvě různá média, jedna mimo firmu — a navrch jedna nesmazatelná. K zálohám má přístup IT, které je spravuje — a vedle toho i jednatel vlastním účtem (konzole Veeam i Azure). Nesmazatelná kopie není o přístupu, ale o mazání: po zapsání ji 30 dní nesmaže nikdo — ani správce, ani útočník s admin heslem.",
    "jobs": [
      {"name": "VM + NAS — lokální",       "what": "všechny VM z NS-HV01/02 + sdílené složky NAS",     "to": "NS-BCK01",                          "schedule": "denně 22:00", "retention": "30 dní",              "immutable": false, "last_ok": "13. 8. 2026 22:41 — OK"},
      {"name": "Kopie na druhé médium",    "what": "kopie úlohy č. 1",                                  "to": "NS-NAS-BCK",                        "schedule": "denně 03:00", "retention": "30 dní",              "immutable": false, "last_ok": "14. 8. 2026 03:12 — OK"},
      {"name": "Offsite — nesmazatelná",   "what": "VM + NAS",                                          "to": "Azure Blob (nezměnitelnost 30 dní)", "schedule": "denně 04:30", "retention": "30 dní + 12 měsíčních", "immutable": true,  "last_ok": "14. 8. 2026 05:03 — OK"},
      {"name": "Microsoft 365",            "what": "Exchange, SharePoint, OneDrive, Teams",             "to": "NS-BCK01 + kopie do Azure",         "schedule": "denně 20:00", "retention": "1 rok",               "immutable": true,  "last_ok": "13. 8. 2026 20:37 — OK"}
    ],
    "restore_tests": [
      {"type": "Měsíční vzorek",        "date": "2026-08-05", "what": "obnova 3 náhodných souborů z NAS",              "result": "OK, 12 minut",   "next": "2026-09-05"},
      {"type": "Kvartální aplikace",    "date": "2026-06-18", "what": "obnova databáze ERP do testovací VM",           "result": "OK, 74 minut",   "next": "2026-09-18"},
      {"type": "Roční úplná zkouška",   "date": "2026-03-21", "what": "obnova DC + ERP + souborů do izolované sítě",   "result": "OK, 6 h 20 min", "next": "2027-03-21"}
    ]
  },
  "dr": {
    "scenarios": [
      {"name": "Výpadek jedné VM nebo služby",     "action": "obnova z lokální zálohy na NS-BCK01 (runbook R1)",                                              "rto": "4 h",              "rpo": "24 h", "tested": "18. 6. 2026 — obnova databáze ERP, 74 min"},
      {"name": "Ransomware — zašifrování serverů", "action": "odpojit síť, nic neplatit, obnova z nesmazatelné kopie v Azure (runbook R2)",                    "rto": "24–48 h",          "rpo": "24 h", "tested": "21. 3. 2026 — cvičení u stolu + zkušební obnova"},
      {"name": "Zničení serverovny (požár, voda)", "action": "náhradní hardware / dočasný provoz v Azure, obnova z cloudové kopie (runbook R3)",               "rto": "5 pracovních dní", "rpo": "24 h", "tested": "21. 3. 2026 — cvičení u stolu"},
      {"name": "Výpadek internetu",                "action": "automatické přepnutí firewallu na záložní LTE",                                                  "rto": "15 min",           "rpo": "—",    "tested": "9. 2. 2026 — ostrý test přepnutí"},
      {"name": "Správce IT nedostupný",            "action": "nouzový účet break-glass (kapitola výše) + dodavatel Nováček IT převezme podle této dokumentace", "rto": "24 h",             "rpo": "—",    "tested": "15. 7. 2026 — test nouzového účtu"}
    ],
    "notes": "Vytištěná kopie DR plánu: trezor v kanceláři jednatele + doma u jednatele. Plán znají: Petr Havlena, Martin Doubek, Jana Melicharová. Pohotovost dodavatele: Nováček IT s.r.o., +420 555 000 111 (24/7).",
    "tabletop": "Poslední cvičení „u stolu“: 21. 3. 2026 — scénář: správce IT ráno nedostupný a v noci proběhlo šifrování serverů. Další cvičení: březen 2027."
  },
  "lifecycle": {
    "intro": "Dokumentace nesleduje jen to, co firma MÁ, ale i to, co jí tiše VYPRŠÍ: domény, certifikáty, licence, záruky, podporu softwaru i servisní smlouvy. Expirace nebolí — do dne, kdy něco propadne. Je to platební kontinuita (oblast 9 checklistu) v praxi: každá položka má termín, počet zbývajících dní a jméno toho, kdo platí.",
    "reminders_note": "Upomínky ke všem službám chodí na sdílenou schránku it@novak-syn.cz a termíny drží sdílený kalendář „IT expirace“ (hlídají J. Melicharová + M. Doubek) s připomínkou 60, 30 a 7 dní předem. Žádná kritická služba nevisí na osobní kartě ani soukromém e-mailu.",
    "domains": [
      {"domain": "novak-syn.cz",  "use": "hlavní doména — web, e-mail, přihlašování do služeb", "registrar": "český registrátor — účet firmy (it@)",                    "expires": "2027-03-04", "autorenew": true,  "pays": "firemní karta", "note": "držitel: Výroba Novák & Syn s.r.o., IČO 12345678 — ověřeno výpisem WHOIS 12. 6. 2026"},
      {"domain": "novaksyn.cz",         "use": "obranná registrace — přesměrování na hlavní web",     "registrar": "týž registrátor",                                         "expires": "2026-12-02", "autorenew": true,  "pays": "firemní karta", "note": ""},
      {"domain": "novak-syn-shop.cz",    "use": "pilot e-shopu (2024) — dnes nevyužitá",               "registrar": "týž registrátor",                                         "expires": "2026-10-19", "autorenew": false, "pays": "firemní karta", "note": "rozhodnout do září: prodloužit (drží značku), nebo nechat propadnout"},
      {"domain": "presna-mechanika.cz", "use": "z akvizice Přesná mechanika s.r.o. (2021) — stále chodí pošta od starých zákazníků", "registrar": "jiný registrátor — účet převeden na firmu 2022", "expires": "2027-06-30", "autorenew": true, "pays": "firemní karta", "note": "držet minimálně do 2028, pak vyhodnotit"}
    ],
    "certificates": [
      {"name": "www.novak-syn.cz (web)",                       "issuer": "Let's Encrypt (přes hosting)", "expires": "obnovuje se automaticky à 90 dní", "owner": "hlídá hosting; kontrola při pololetní revizi"},
      {"name": "vpn.novak-syn.cz (SSTP VPN na NS-FW01)",      "issuer": "veřejná CA — roční certifikát", "expires": "2027-01-22",                      "owner": "obnovuje M. Doubek — úkol v kalendáři „IT expirace“"},
      {"name": "erp.ad.novak-syn.cz (web modul ERP, intranet)", "issuer": "self-signed",                  "expires": "2028-03-01",                      "owner": "nahradit důvěryhodným certifikátem při upgrade ERP (Q4 2026)"},
      {"name": "Microsoft 365 (pošta, přihlašování)",                "issuer": "spravuje Microsoft",           "expires": "bez akce firmy",                  "owner": "—"}
    ],
    "saas": [
      {"service": "Microsoft 365 Business Premium", "license": "na uživatele",       "count": "45", "assigned": "všichni zaměstnanci — skupina LIC-M365-BP (dynamická)",          "renewal": "2027-01-31", "renewal_note": "roční závazek", "pays": "faktura — CSP Nováček IT", "note": "tenant i data vlastní firma; GDAP lze kdykoli odebrat"},
      {"service": "Microsoft Defender for Business", "license": "součást Business Premium", "count": "45", "assigned": "všechna zařízení ve správě Intune",                        "renewal": "s licencí M365",  "renewal_note": "", "pays": "—",                        "note": "EDR/antivir — bez samostatné platby"},
      {"service": "Power BI Pro",                   "license": "na uživatele",       "count": "3",  "assigned": "P. Havlena, J. Melicharová, T. Hruška",                          "renewal": "měsíčně, bez závazku", "renewal_note": "", "pays": "faktura — CSP",       "note": ""},
      {"service": "Adobe Acrobat Standard",         "license": "na uživatele",       "count": "4",  "assigned": "skupina LIC-Acrobat (ekonomika + obchod)",                        "renewal": "2027-02-15", "renewal_note": "roční", "pays": "firemní karta",            "note": ""},
      {"service": "Bitwarden (správce hesel)",      "license": "organizace",         "count": "8",  "assigned": "vedení + IT — kolekce dle úseků",                                 "renewal": "2026-09-30", "renewal_note": "roční", "pays": "firemní karta",            "note": "vlastník organizace: firma (jednatel + IT)"},
      {"service": "ERP Helios Orange — maintenance", "license": "souběžní uživatelé", "count": "20", "assigned": "výroba, sklad, ekonomika — jmenný seznam v ERP.md",              "renewal": "2026-12-31", "renewal_note": "roční", "pays": "faktura",                  "note": "podpora + aktualizace; upgrade Q4 2026"},
      {"service": "Veeam Data Platform",            "license": "instance (VUL)",     "count": "10", "assigned": "servery + NAS — úlohy viz DR karta",                              "renewal": "2027-05-15", "renewal_note": "roční", "pays": "faktura",                  "note": ""},
      {"service": "Azure — nesmazatelné úložiště záloh", "license": "dle spotřeby",  "count": "—",  "assigned": "zálohovací úlohy č. 3 a 4",                                       "renewal": "průběžně (měsíčně)", "renewal_note": "", "pays": "firemní karta",         "note": "nezměnitelnost (immutability) 30 dní"},
      {"service": "Webhosting",                     "license": "balíček",            "count": "1",  "assigned": "firemní web",                                                     "renewal": "2027-02-28", "renewal_note": "roční", "pays": "firemní karta",            "note": ""},
      {"service": "Docházkový systém",              "license": "na terminál",        "count": "3",  "assigned": "terminály u vchodů",                                              "renewal": "servisní smlouva — viz Servis a pojištění", "renewal_note": "", "pays": "faktura", "note": ""}
    ],
    "hardware": [
      {"device": "NS-HV01",    "model": "Dell PowerEdge R450",   "serial": "ST 7GX2Q34",       "support": "Dell ProSupport NBD", "expires": "2027-09-30", "plan": "prodloužit o 2 roky při obnově smlouvy"},
      {"device": "NS-HV02",    "model": "Dell PowerEdge R450",   "serial": "ST 7GX2Q41",       "support": "Dell ProSupport NBD", "expires": "2027-09-30", "plan": "prodloužit o 2 roky při obnově smlouvy"},
      {"device": "NS-BCK01",   "model": "Dell PowerEdge T350",   "serial": "ST JW4T2P3",       "support": "Dell Basic NBD",      "expires": "2026-11-15", "plan": "povýšit na ProSupport — nabídka poptána"},
      {"device": "NS-NAS01",   "model": "Synology RS1221+",      "serial": "SN 2150SGR445901", "support": "záruka výrobce",      "expires": "2026-06-30", "plan": "po záruce — výměna plánována Q2 2027, nabídka u dodavatele"},
      {"device": "NS-NAS-BCK", "model": "Synology DS923+",       "serial": "SN 2320TQK118002", "support": "záruka výrobce",      "expires": "2028-02-10", "plan": "—"},
      {"device": "NS-FW01",    "model": "MikroTik CCR2116",      "serial": "SN D4E8-9F21",     "support": "záruka",              "expires": "2027-04-22", "plan": "při poruše náhrada do 24 h od dodavatele; konfigurace se exportuje denně"},
      {"device": "NS-UPS01",   "model": "APC Smart-UPS SRT 3000", "serial": "SN AS2405123456", "support": "záruka výrobce",      "expires": "2027-05-15", "plan": "výměna baterií 5/2028 (po 4 letech) — viz Servis a pojištění"}
    ],
    "software_eol": [
      {"software": "Windows Server 2022",       "where": "NS-DC01/02, SQL01, ERP01, SYNC", "end": "2026-10-13", "end_label": "konec běžné (mainstream) podpory", "extended": "rozšířená podpora do 14. 10. 2031", "plan": "v pořádku — bezpečnostní záplaty běží dál; upgrade OS při obnově serverů (2028)"},
      {"software": "SQL Server 2022",           "where": "NS-SQL01",                       "end": "2028-01-11", "end_label": "konec běžné podpory",              "extended": "rozšířená podpora do 11. 1. 2033",  "plan": "v pořádku"},
      {"software": "Windows 11 Pro 25H2",       "where": "41 počítačů",                     "end": "2027-10-12", "end_label": "konec podpory verze",              "extended": "verze se obnovuje ročně",           "plan": "Intune povyšuje verze automaticky"},
      {"software": "ERP Helios Orange 2024.2",  "where": "NS-ERP01",                       "end": "2026-12-31", "end_label": "konec podpory dodavatele",         "extended": "—",                                 "plan": "upgrade na novou verzi naplánován Q4 2026"},
      {"software": "MikroTik RouterOS 7",       "where": "firewall, switche, AP",           "end": "průběžné aktualizace",  "end_label": "",                      "extended": "—",                                 "plan": "kontrola firmware při kvartální údržbě"},
      {"software": "Synology DSM 7.2",          "where": "NS-NAS01, NS-NAS-BCK",          "end": "průběžné aktualizace",  "end_label": "",                      "extended": "—",                                 "plan": "kontrola firmware při kvartální údržbě"}
    ],
    "services": [
      {"service": "Internet — optika 500/500 Mb/s",            "provider": "poskytovatel připojení", "term": "na neurčito, výpověď 3 měsíce",        "expires": "",           "pays": "faktura",         "note": ""},
      {"service": "Záložní LTE připojení",                     "provider": "mobilní operátor",       "term": "závazek do 30. 6. 2027",               "expires": "2027-06-30", "pays": "faktura",         "note": "přepnutí testováno 9. 2. 2026"},
      {"service": "Mobilní tarify (18 SIM)",                   "provider": "mobilní operátor",       "term": "rámcová smlouva do 31. 3. 2027",       "expires": "2027-03-31", "pays": "faktura",         "note": ""},
      {"service": "UPS — servis a baterie",                    "provider": "servisní partner",       "term": "roční prohlídka — poslední 6. 5. 2026, další 5/2027", "expires": "", "pays": "faktura",  "note": "výměna baterií 5/2028 (po 4 letech)"},
      {"service": "Klimatizace serverovny — servis",           "provider": "servisní firma",         "term": "roční servis — poslední 12. 5. 2026, další 5/2027",   "expires": "", "pays": "faktura",  "note": ""},
      {"service": "Leasing multifunkčních tiskáren (3 ks)",    "provider": "leasingová společnost",  "term": "smlouva do 30. 9. 2027",               "expires": "2027-09-30", "pays": "faktura",         "note": "před koncem rozhodnout: odkup / výměna"},
      {"service": "Kybernetické pojištění",                    "provider": "pojišťovna",             "term": "obnova 1. 4. 2027 — limit plnění 10 mil. Kč", "expires": "2027-04-01", "pays": "faktura", "note": "pojišťovna vyžaduje MFA, zálohy a testy obnovy — dokládá se touto dokumentací; podporovaný software je podmínka plnění"},
      {"service": "IT dodavatel — servisní smlouva (Nováček IT)", "provider": "Nováček IT s.r.o.",   "term": "na neurčito — exit 60 dní, zafixované sazby (čl. 12)", "expires": "", "pays": "faktura měsíčně", "note": "pohotovost 24/7: +420 555 000 111"}
    ]
  },
  "evidence": {
    "filled_by": "Martin Doubek (generováno ze zdrojových dat, zkontroloval)",
    "filled_date": "2026-08-14",
    "next_review": "2027-02-14",
    "principle": "Kopie této evidence nesmí ležet jen na serveru, který popisuje. Vytištěná kopie: trezor v kanceláři jednatele; druhá kopie: bankovní schránka. Po každém přegenerování dokumentace se obě kopie mění za aktuální.",
    "domains": [
      {"n": 1, "title": "Domény a DNS", "critical": true, "why": "Doména nese web, poštu i přihlašování do většiny služeb. Držitelem musí být firma (IČO), ne člověk.", "rows": [
        ["Účet u registrátora domény (novak-syn.cz)", "Bitwarden — kolekce „Firma – kritické“", "jednatel, M. Doubek", "2026-06-12", "2027-06-12"],
        ["Držitel domény ve výpisu WHOIS", "Výroba Novák & Syn s.r.o., IČO 12345678 — výpis: SharePoint → IT dokumentace → Doména", "výpis je veřejný", "2026-06-12", "2027-06-12"],
        ["DNS hosting (kde jsou záznamy domény)", "u registrátora; export záznamů: SharePoint → IT dokumentace → DNS.md", "M. Doubek, Nováček IT", "2026-06-12", "2027-06-12"],
        ["Expirace domény a z čí karty se platí", "4. 3. 2027 — firemní karta; viz kapitola Expirace a životní cyklus", "J. Melicharová (karta)", "2026-06-12", "2027-06-12"],
        ["Kontaktní e-mail u registrátora", "it@novak-syn.cz (sdílená schránka, ne osobní)", "jednatel, M. Doubek, Nováček IT", "2026-06-12", "2027-06-12"]
      ]},
      {"n": 2, "title": "Vlastnictví tenantu a licencí", "critical": true, "why": "Tenant — prostředí Microsoft 365 — i data jsou firmy. Jednatel se umí přihlásit do administrace i bez dodavatele.", "rows": [
        ["Přihlášení jednatele do administrace Microsoft 365", "havlena@novak-syn.cz — role Global Reader (vidí vše, nemění nic; zásah řeší break-glass)", "Petr Havlena", "2026-05-20", "2027-05-20"],
        ["Seznam globálních administrátorů", "kapitola Mapa identit tohoto dokumentu (generováno)", "vedení + IT", "2026-08-14", "2027-02-14"],
        ["Smlouva s partnerem (CSP) a výpis jeho oprávnění", "SharePoint → Smlouvy → Nováček IT; oprávnění GDAP v kapitole Mapa identit", "jednatel, J. Melicharová", "2026-05-20", "2027-05-20"],
        ["Přehled licencí a datum obnovy předplatných", "45× Business Premium, obnova 31. 1. 2027 — kapitola Expirace a životní cyklus (vč. přiřazení licencí)", "jednatel, M. Doubek", "2026-05-20", "2027-05-20"]
      ]},
      {"n": 3, "title": "Dokumentace systémů", "critical": false, "why": "Měřítko: cizí technik s ní do 48 hodin převezme provoz. Kopie patří mimo systémy, které popisuje.", "rows": [
        ["Inventura systémů (co všechno ve firmě běží)", "tento dokument — kapitola Inventář systémů (generováno ze seed-data.json)", "vedení + IT", "2026-08-14", "2027-02-14"],
        ["Síťové schéma", "tento dokument — Síťová matice a Síťový diagram (generováno)", "vedení + IT", "2026-08-14", "2027-02-14"],
        ["Seznam admin účtů a jejich vlastníků", "tento dokument — kapitola Mapa identit", "vedení + IT", "2026-08-14", "2027-02-14"],
        ["Kontakty na dodavatele", "kapitoly Inventář systémů a DR karta", "vedení + IT", "2026-08-14", "2027-02-14"],
        ["Postup obnovy krok za krokem", "runbooky R1–R3: SharePoint → IT dokumentace → DR; souhrn v kapitole DR karta", "IT; tištěná kopie u jednatele", "2026-03-21", "2027-03-21"],
        ["Kopie dokumentace mimo popisované systémy", "PDF export: trezor + bankovní schránka; obměna po každém přegenerování", "jednatel", "2026-08-14", "2027-02-14"]
      ]},
      {"n": 4, "title": "Nouzové admin účty", "critical": true, "why": "Break-glass — cesta do Microsoft 365, i když admin zítra nepřijde. Podrobný postup: kapitola Break-glass runbook.", "rows": [
        ["Nouzový účet č. 1 (přihlašovací jméno)", "bg-admin-01@novaksynvyroba.onmicrosoft.com", "držitelé klíče č. 1", "2026-07-15", "2026-10-13"],
        ["Nouzový účet č. 2 (přihlašovací jméno)", "bg-admin-02@novaksynvyroba.onmicrosoft.com", "držitelé klíče č. 2", "2026-07-15", "2026-10-13"],
        ["Hardwarový klíč FIDO2 č. 1 — umístění", "trezor v kanceláři jednatele (+ zapečetěná obálka s PIN)", "P. Havlena, J. Melicharová", "2026-07-15", "2026-10-13"],
        ["Hardwarový klíč FIDO2 č. 2 — druhé, oddělené místo", "bankovní schránka, pobočka Chrudim", "P. Havlena", "2026-07-15", "2026-10-13"],
        ["Upozornění na každé přihlášení — kam chodí", "e-mail jednateli + it@ (okamžitě)", "—", "2026-07-15", "2026-10-13"]
      ]},
      {"n": 5, "title": "Zálohy s vlastním přístupem", "critical": true, "why": "Tři kopie, dvě média, jedna mimo firmu — a navrch jedna nesmazatelná. IT k zálohám přístup má; má ho i jednatel.", "rows": [
        ["Co všechno se zálohuje (seznam dat a systémů)", "tabulka Zálohovací úlohy v tomto dokumentu (generováno)", "IT + jednatel", "2026-08-14", "2027-02-14"],
        ["Kde zálohy leží (média a lokality)", "NS-BCK01, NS-NAS-BCK, Azure (mimo firmu)", "IT + jednatel", "2026-08-05", "2026-09-05"],
        ["Nesmazatelná (immutable) kopie — kde je", "Azure Blob — nezměnitelnost 30 dní", "IT + jednatel (vlastní účet)", "2026-06-18", "2026-09-18"],
        ["Vlastní přístup firmy k zálohám", "jednatel má vlastní účet do konzole Veeam i do Azure", "Petr Havlena", "2026-08-05", "2026-09-05"],
        ["Heslo či klíč k dešifrování záloh", "zapečetěná obálka v trezoru; zná i jednatel (mimo IT)", "P. Havlena + IT", "2026-04-03", "2026-10-03"],
        ["Zápis o poslední zkušební obnově", "tabulka Zkušební obnovy + deník na SharePointu", "IT + jednatel", "2026-08-05", "2026-09-05"]
      ]},
      {"n": 6, "title": "Plán obnovy po havárii", "critical": false, "why": "Kdo, co a v jakém pořadí obnovuje — dostupné i při výpadku IT, vytištěné, znají ho aspoň dva lidé.", "rows": [
        ["Písemný plán obnovy (DR) — vytištěná kopie", "trezor v kanceláři jednatele", "P. Havlena, J. Melicharová", "2026-03-21", "2027-03-21"],
        ["Kopie plánu mimo firmu", "doma u jednatele + bankovní schránka", "P. Havlena", "2026-03-21", "2027-03-21"],
        ["Kdo plán zná (aspoň dva lidé)", "P. Havlena, M. Doubek, J. Melicharová", "—", "2026-03-21", "2027-03-21"],
        ["Zápis z posledního cvičení „u stolu“", "SharePoint → IT dokumentace → DR → cvičení 2026", "vedení", "2026-03-21", "2027-03-21"]
      ]},
      {"n": 7, "title": "Správa hesel a úschova přístupů", "critical": false, "why": "Trezory s hesly vlastní firma, ne hlava jednoho člověka — a nad tím nouzový mechanismus.", "rows": [
        ["Firemní správce hesel — kdo vlastní trezory", "Bitwarden — organizace Novák & Syn (vlastník: firma; správci: jednatel + M. Doubek)", "všichni dle kolekcí", "2026-07-01", "2026-10-01"],
        ["Zapečetěná obálka v trezoru — datum poslední obměny", "trezor v kanceláři jednatele", "P. Havlena, J. Melicharová", "2026-04-03", "2026-10-03"],
        ["Nouzový přístup (Bitwarden Emergency Access)", "P. Havlena je nouzový kontakt účtu M. Doubka (čekací lhůta 3 dny)", "Petr Havlena", "2026-07-01", "2026-10-01"],
        ["Úschova u třetí strany (escrow)", "nezavedena — pokryto obálkou a nouzovým přístupem", "—", "—", "—"]
      ]},
      {"n": 8, "title": "Smlouva s IT dodavatelem", "critical": false, "why": "Kontinuita se vyjednává, dokud je vztah dobrý. Přístupy a dokumentace se předávají průběžně, ne až při rozchodu.", "rows": [
        ["Smlouva s dodavatelem IT — kde je uložená", "SharePoint → Smlouvy → Nováček IT s.r.o.", "jednatel, J. Melicharová", "2026-05-20", "2027-05-20"],
        ["Doložka: data, zálohy i dokumentace patří klientovi", "čl. 7 smlouvy — výslovně", "—", "2026-05-20", "2027-05-20"],
        ["Součinnost při ukončení (lhůta, sazby)", "čl. 12 — 60 dní, zafixované sazby", "—", "2026-05-20", "2027-05-20"],
        ["Poslední průběžné předání přístupů a dokumentace", "14. 8. 2026 — přegenerování této dokumentace + namátková kontrola přístupů", "jednatel", "2026-08-14", "2027-02-14"]
      ]},
      {"n": 9, "title": "Platební kontinuita", "critical": false, "why": "Expirace nebolí — do dne, kdy certifikát propadne. Vše na firemní kartu a e-mail na roli, ne na osobu.", "rows": [
        ["Domény — z čí karty se platí, kdy expirují", "kapitola Expirace a životní cyklus — všechny 4 domény (firemní karta)", "J. Melicharová", "2026-06-12", "2026-12-12"],
        ["Certifikáty — kdo obnovuje, kdy expirují", "web: Let's Encrypt, obnovuje se automaticky; hlídá hosting", "—", "2026-06-12", "2026-12-12"],
        ["Hosting a další klíčové služby — z čí karty", "vše firemní karta nebo faktura; žádná osobní karta", "J. Melicharová", "2026-06-12", "2026-12-12"],
        ["E-mail pro upomínky (role, ne osobní schránka)", "it@novak-syn.cz (sdílená schránka)", "IT + ekonomka", "2026-06-12", "2026-12-12"],
        ["Kalendář expirací — kdo ho hlídá", "sdílený kalendář „IT expirace“ v Microsoft 365", "J. Melicharová + M. Doubek", "2026-06-12", "2026-12-12"]
      ]},
      {"n": 10, "title": "Offboarding a rotace tajemství", "critical": false, "why": "Při každém odchodu z IT: privilegované přístupy zrušit do hodiny, sdílená hesla a klíče vyměnit.", "rows": [
        ["Sepsaný postup pro odchod člověka z IT", "SharePoint → IT dokumentace → Offboarding.md", "vedení + IT", "2026-06-30", "při dalším odchodu"],
        ["Sdílená hesla — seznam k výměně při odchodu", "Bitwarden — kolekce označené štítkem „rotace“", "IT", "2026-06-30", "při dalším odchodu"],
        ["API klíče a servisní účty — seznam k výměně", "kapitola Mapa identit + dokumentace ERP (Veeam→Azure, docházka→ERP)", "IT", "2026-06-30", "při dalším odchodu"],
        ["Protokol z posledního odchodu", "30. 6. 2026 — brigádník (výpomoc IT): účty zrušeny týž den, sdílená hesla obměněna", "vedení", "2026-06-30", "—"]
      ]}
    ]
  }
}