Odpověď hned: Začněte doménou, e-mailovým tenantem a zálohami — ne počítači v kancelářích. V prvních hodinách zajistěte firemní administrátorský přístup k doméně, k Microsoftu 365 nebo Google Workspace a k zálohovacímu úložišti, ukončete vzdálené přístupy bývalého správce a teprve pak inventarizujte. Do sedmi dnů byste měli mít vlastní administrátorské účty, soupis závislostí a otestovanou obnovu dat — ne jen seznam hesel.
Odchod firemního ajťáka se obvykle neprojeví výpadkem. Projeví se obyčejnou žádostí: přidat nového zaměstnance do pošty, prodloužit doménu, změnit číslo na webu. A pak vyjde najevo, že doména je registrovaná na jeho soukromý e-mail, druhý faktor u Microsoftu chodí na telefon, který už firma nemá, a zálohovací úloha na NASu poslední dva měsíce hlásí chybu na adresu, kterou nikdo nečte.
Řízené předání, kdy odcházející správce spolupracuje, popisuje článek Odešel vám ajťák? Jak převzít a předat firemní IT bez výpadku. Tenhle text začíná o stupeň hůř: předání buď neproběhlo vůbec, nebo mu nemůžete věřit.
Cílem prvního týdne není překopat síť ani koupit nový server. Je to pět věcí:
- ukončit přístup bývalého správce dřív, než ho někdo použije,
- zachovat firemní data a konfigurace, které mohou zmizet s jeho účtem,
- získat administrátorská oprávnění vedená na firmu,
- zjistit, na čem firma doopravdy závisí,
- prokázat, že zálohy jdou obnovit.
Teprve šestý bod je dokumentace — a ta je jediný výstup, který vám zůstane, i když příště odejde nový správce.
Prvních dvou hodin: kdo rozhoduje a co zavřít
Určete jednoho člověka z vedení, který převzetí schvaluje. Nemusí rozumět VLANům. Musí rozhodovat, kdo dostane administrátorský přístup a které změny se smějí provést za provozu — protože v příštích dnech vám někdo položí obojí otázku pod časovým tlakem.
Pokud hrozí zneužití účtů, začněte odstřižením přístupu. Změna hlavního hesla sama o sobě nestačí: v Microsoftu 365 zůstává vydaný přístupový token platný typicky do vypršení řádově v hodinách, takže přihlášená relace běží dál, dokud ji výslovně neodvoláte (v Entra ID „Revoke sessions”, případně Revoke-MgUserSignInSession v PowerShellu). Stejná logika platí pro Google Workspace i pro většinu cloudových služeb.
Projděte cesty, které heslo obcházejí úplně:
- VPN účty a klientské certifikáty (u OpenVPN i certifikát odvolejte, nejen smažte účet),
- vzdálenou správu — AnyDesk, TeamViewer, RustDesk nebo RMM agent, který má na stanicích trvalý přístup,
- SSH klíče v
~/.ssh/authorized_keysna serverech a v DSM či QTS na NASu, - jeho osobní účty přidané jako administrátor do Microsoft 365, Google Workspace, Cloudflare, hostingu nebo registrátora,
- API tokeny, hesla aplikací (app passwords obcházejí MFA) a přístup do správce hesel,
- automatické přeposílání pošty a delegovaný přístup ke schránkám.
Účet ale hned nemažte. Nejdřív zajistěte jeho poštu, OneDrive nebo Disk, dokumentaci a historii komunikace s dodavateli — právě tam bývá jediná stopa po tom, u koho je vedená doména. Ověřte, jak se konkrétní platforma zachová při odebrání licence: obsah schránky nezmizí okamžitě, ale lhůty se liší podle služby a nastavení, takže si data vyexportujte dřív, než se na lhůtu spolehnete.
A nedělejte plošnou změnu všech hesel. Pod účtem správce mohou běžet zálohovací úlohy, skenování do e-mailu z multifunkce, synchronizace NASu i naplánované skripty. Neřízená změna hesla zastaví službu, o které zatím nevíte — a spojitost s tou změnou nikdo neodhalí, protože se projeví až za týden při měsíční uzávěrce.
Plán převzetí IT správy firmy na sedm dní
| Termín | Co musí být hotové | Výsledek |
|---|---|---|
| Den 1 | Zajištění domény, e-mailového tenantu, administrátorských účtů a vzdálených přístupů | Firma má vlastní administrátorský přístup |
| Den 2 | Soupis zařízení, serverů, cloudů, licencí a dodavatelů | Je jasné, co existuje a kdo to platí |
| Den 3 | Mapa sítě a závislostí mezi službami | Změny lze plánovat bez zbytečného výpadku |
| Den 4 | Kontrola záloh, šifrovacích klíčů a historie chyb | Je zřejmé, co lze obnovit |
| Den 5 | Praktický test obnovy vybraných dat | Záloha je ověřená, ne pouze „zelená” |
| Den 6 | Seznam rizik podle závažnosti | Vedení ví, co řešit ihned a co počká |
| Den 7 | Dokumentace, plán oprav a pravidla správy | Provoz nezávisí na jednom člověku |
Pořadí se mění podle situace. Nefunkční záloha účetnictví má přednost před inventurou tiskáren. Neznámé heslo k hostovské Wi-Fi naopak není důvod k odstávce sítě.
Checklist účtů, které musí ovládat firma
Seznam hesel v Excelu není převzetí. Firma musí být vlastníkem účtu, obnovovací adresy, druhého faktoru i smlouvy s dodavatelem — tohle jsou čtyři různé věci a chybět může kterákoli.
| Oblast | Co převzít a ověřit |
|---|---|
| Doména | Účet u registrátora, zapsaný držitel, fakturační kontakt, obnovovací e-mail, vícefaktorové ověření, zámek proti převodu |
| DNS | Autoritativní nameservery, export zóny, přístup do Cloudflare nebo DNS hostingu, DNSSEC |
| Globální administrátor Microsoft 365 nebo superadministrátor Google Workspace, licence, fakturace, MX, SPF, DKIM, DMARC | |
| Identity | Microsoft Entra ID, skupiny, administrátorské role, podmíněný přístup, připojené aplikace a udělená OAuth oprávnění |
| Internet a síť | Účet u poskytovatele, router, firewall, switche, Wi-Fi kontrolér, VLAN, DHCP, VPN, veřejné IP adresy |
| Servery | Windows Server, Linux, Hyper-V, VMware nebo Proxmox, servisní účty, konzole, šifrovací klíče |
| NAS a zálohy | Synology DSM, QNAP QTS, Veeam, Hyper Backup, Active Backup for Business nebo HBS 3, cílová úložiště a klíče k šifrovaným zálohám |
| Počítače | Lokální správce, BitLocker recovery klíče, Intune či jiný MDM, antivirus, RMM |
| Web a cloud | Hosting, SSL certifikáty, GitHub nebo GitLab, Azure, AWS, účetní a CRM systémy |
| Ostatní provoz | VoIP ústředna, kamerový systém, docházka, UniFi či Omada kontrolér, tiskárny a skenování do e-mailu |
U každé položky si poznamenejte vlastníka služby, administrátory, způsob obnovy přístupu, datum další platby a závislosti. Hesla patří do firemního správce hesel — Bitwarden, 1Password, Keeper —, ne do sdílené tabulky na disku a rozhodně ne do e-mailu.
Zvláštní pozornost si zaslouží BitLocker recovery klíče. Pokud se stanice připojovaly do domény nebo do Entra ID, klíče se tam nejspíš zálohovaly automaticky a vytáhnete je z konzole. Pokud běžely jako samostatné počítače pod lokálním účtem, existují klíče v Microsoft účtu technika nebo na papíře — a jinak nikde. Detailně to rozebírá text o tom, co dělat, když BitLocker po aktualizaci Windows najednou chce recovery klíč.
V jakém pořadí měnit přístupy
Postupujte od účtů, přes které lze obnovit všechny ostatní, k těm koncovým:
- Firemní doména a účet u registrátora.
- Hlavní e-mailový tenant a systém identit (Entra ID, Google Workspace).
- Správce hesel a účty pro zálohování.
- Cloud, hosting, servery, firewall a vzdálený přístup.
- Provozní aplikace a běžná koncová zařízení.
Logika je jednoduchá: kdo ovládá doménu, přesměruje si poštu; kdo ovládá poštu, resetuje si skoro všechno ostatní. Když začnete přezbrojováním notebooků, opravujete listy stromu, zatímco kořen zůstává v cizích rukách.
Pro Microsoft 365 i Google Workspace založte alespoň dva firemně vlastněné administrátorské účty. Nemají být vedené na soukromou adresu technika ani se používat pro každodenní poštu. U Microsoftu 365 navíc ověřte, jestli existuje nouzový přístupový účet vyňatý z podmíněného přístupu — bez něj se dá při špatně nastaveném pravidle zamknout celý tenant.
Před změnou hesla servisního účtu zjistěte, kde všude je uložené. Jeden účet často obsluhuje zálohu, tiskárnu, webovou aplikaci i naplánovaný skript. Změna bez mapy závislostí vyrobí sérii zdánlivě nesouvisejících poruch, které se hledají mnohem hůř než jeden plánovaný výpadek.
Doména a DNS mají přednost před kancelářskými počítači
Kdo ovládá doménu a DNS, může přesměrovat web, změnit doručování pošty i prokázat vlastnictví domény cloudové službě a založit si v ní přístup. Přesto bývá doména vedená na člověka, který ji kdysi „zařídil”.
Ověřte přímo u registrátora, že zapsaným držitelem je firma a kontaktní údaje jsou aktuální. U českých domén se držitel dohledá ve veřejném rejstříku CZ.NIC, ale změna zápisu jde jen přes účet u registrátora nebo doložením identity. Samotná možnost editovat DNS záznamy nestačí — to je oprávnění, ne vlastnictví.
Před jakoukoli změnou zónu vyexportujte. Zaznamenejte MX pro poštu, TXT pro ověřování služeb, SPF, DKIM (selektory bývají selector1 a selector2 u Microsoftu 365, google u Workspace), DMARC, subdomény a záznamy používané VPN nebo vzdáleným přístupem. Nepřepisujte zónu podle toho, co je vidět na webu: ověřovací TXT záznam nebo CNAME pro autodiscover nemají žádný veřejně zřejmý účel a jejich smazání se projeví až za týdny.
Záloha není převzatá, dokud z ní neobnovíte data
Zelená ikona v Synology DSM, v QNAP QTS nebo v konzoli Veeamu dokládá jediné: úloha doběhla. Neříká nic o tom, jestli zálohuje správná data, jestli znáte šifrovací klíč a jestli je obnova technicky proveditelná.
V prvním týdnu ověřte:
- co přesně se zálohuje a co je z úlohy vyloučeno (výjimky bývají léta staré a nikdo je nerevidoval),
- kam se kopie ukládají a jestli existuje kopie mimo budovu,
- jestli je zálohovací úložiště trvale připojené stejným účtem jako produkce — pak ho ransomware zašifruje spolu s ní,
- jak dlouho se drží starší verze a jestli by přežily měsíc nepovšimnuté chyby,
- kdo vlastní heslo a šifrovací klíč k záloze,
- jestli se chyby skutečně někomu hlásí na adresu, kterou někdo čte.
Pak proveďte izolovanou obnovu: několik souborů a alespoň jeden důležitý systém nebo jeho reprezentativní část. Obnovený soubor otevřete. U databáze nestačí, že vznikl soubor správné velikosti — musí ji přijmout aplikace, která s ní pracuje.
RAID není záloha a druhý disk v témže NASu taky ne; obojí řeší výpadek disku, ne smazání, ransomware nebo tiché poškození dat. Souvislosti rozebírají texty o úrovních RAID prakticky a o externím disku jako záloze podle pravidla 3-2-1. Při převzetí potřebujete hlavně důkaz, že existuje nezávislá a použitelná kopie.
Když test obnovy skončí špatně — svazek je degradovaný, klíč nikdo nezná, úloha měsíce nedoběhla —, nepokoušejte se to řešit metodou pokus-omyl na jediné kopii dat. Pošlete nám poptávku na záchranu dat a nejdřív se domluvíme, co se z toho dá vytáhnout a za jakých podmínek. Rebuild degradovaného pole spuštěný „ať to jede” umí zbytek dat dorazit definitivně.
Kde se skrývají nezdokumentované závislosti
Technický soupis sám neodhalí, že účetní exportuje data přes síťovou složku na starém serveru, že sklad tiskne etikety z jediného počítače s nainstalovaným ovladačem nebo že zálohu spouští skript pod osobním účtem bývalého správce. Zeptejte se lidí, co jim přestane fungovat při výpadku internetu, serveru nebo konkrétní stanice — dostanete mapu, kterou žádný sken sítě nenakreslí.
Doplňkově zkontrolujte:
- automatické obnovování SSL certifikátů (Let’s Encrypt certifikát platí 90 dní, takže selhání cron úlohy se projeví až za tři měsíce),
- naplánované úlohy a skripty na serverech i stanicích,
- SMTP účty tiskáren, webů a kamer — často jde o app password, který přežije i změnu hlavního hesla,
- sdílené schránky a přeposílání pošty,
- lokální databáze účetních programů (Pohoda a podobné běžně běží nad souborovou databází na sdíleném disku),
- licence vázané na e-mail, hardware nebo platební kartu bývalého správce,
- UPS a způsob, jak se při výpadku proudu server nebo NAS řízeně vypne.
Nejdřív závislost zdokumentujte, teprve pak ji převádějte na nový servisní účet. Opačné pořadí je nejčastější příčina výpadků při převzetí.
Co má firma po převzetí dostat
Výstupem nemá být věta „už do všeho máme přístup”. Požadujte konkrétní balíček:
- inventář zařízení, služeb a licencí,
- seznam administrátorských a servisních účtů s uvedeným vlastníkem,
- jednoduché schéma sítě,
- export důležitých konfigurací (firewall, DNS zóna, zálohovací úlohy),
- přehled domén, DNS a certifikátů s daty expirace,
- popis záloh včetně výsledku testu obnovy,
- seznam dodavatelů, smluv a termínů plateb,
- rizika rozdělená na kritická, vysoká a odložitelná,
- plán nápravy s vlastníkem a termínem u každého úkolu.
Dokumentace patří do firemního prostoru a musí být přístupná alespoň dvěma oprávněným lidem. Jinak jste starou závislost jen vyměnili za novou.
Kolik převzetí stojí a co má obsahovat nabídka
Převzetí nejde poctivě nacenit podle počtu počítačů. Rozsah určuje počet poboček, serverů a cloudových služeb, stav dokumentace, ochota původního správce spolupracovat a to, jestli budete dodavatelům dokazovat vlastnictví účtů.
Nabídku rozdělte na tři části:
- zajištění kritických přístupů,
- audit a dokumentace,
- náprava zjištěných problémů.
První dvě části mohou mít pevný rozsah nebo schválený hodinový strop. Opravy se nacení až podle zjištěného stavu — kdo je nacení dopředu, buď hádá, nebo si připočítává rezervu na nejhorší variantu. Nabídka „kompletní převzetí” bez seznamu výstupů je pozvánka ke sporu o to, co bylo objednáno.
Cenu následné správy neřešte v jedné položce s převzetím; rozdíl mezi paušálem a hodinovkou rozebírá článek Kolik stojí správa IT pro malou firmu. Jednorázová obnova kontroly nad zanedbaným prostředím a pravidelná správa jsou dvě různé služby s jinou strukturou nákladů.
Jak poznat kvalitně provedené převzetí
Dobrý správce první den mapuje závislosti a zálohuje konfigurace. Nemění firewall proto, že používá jinou značku.
Varovné signály:
- účty zůstávají vedené na soukromý e-mail technika,
- firma nemá vlastní administrátorský přístup, jen slib, že ho dostane,
- nikdo neprovedl test obnovy,
- hesla se posílají běžným e-mailem,
- chybí seznam provedených změn,
- všechno běží pod jediným účtem bez dohledatelnosti, kdo co udělal,
- doporučuje se nákup techniky před dokončením inventury,
- neexistuje postup pro budoucí předání jinému dodavateli.
Test je jednoduchý: kdyby nový správce zítra nebyl k zastižení, ovládá firma pořád své účty, ví, kde jsou data, a má použitelnou dokumentaci? Pokud ano, převzetí proběhlo dobře. Pokud ne, jen jste vyměnili jméno na jediném klíči.
Pokud tohle chcete mít z krku a s výstupem, který obhájíte před vedením i před příštím dodavatelem, ozvěte se nám — převzetí IT, audit přístupů a test obnovy záloh děláme jako jednu zakázku s předem daným seznamem výstupů.
Co dělat, když původní správce nespolupracuje
Začněte doklady o vlastnictví: smlouvami, fakturami, údaji zapsaného držitele domény, firemními kontakty u dodavatelů. Registrátor, hosting i cloudový poskytovatel mívají vlastní postup pro obnovu přístupu, který obvykle stojí na doložení identity firmy — ne na znalosti hesla. U služby vedené na soukromou osobu je převzetí složitější a resetem hesla se řešit nedá.
Neobcházejte zabezpečení pokusy naslepo. U šifrovaného svazku na NASu, u BitLockeru nebo u šifrované zálohy můžete získat administrátorský účet a pořád nemít data — šifrovací klíč není součástí administrátorského oprávnění a bez něj je obsah nečitelný.
Průběžně si evidujte, které přístupy chybějí, kdo byl kontaktován, kdy a jaké doklady jste předložili. Tenhle záznam je pak jediný použitelný podklad pro jednání s dodavateli i pro případný smluvní spor.
Nejčastější dotazy
Máme bývalému ajťákovi okamžitě zablokovat účet?
Při bezpečnostním riziku ano — ale ve správném pořadí. Nejdřív si zajistěte druhý administrátorský účet vedený na firmu a vyexportujte data z jeho schránky a cloudového úložiště. Teprve pak zablokujte přihlášení, odvolejte aktivní relace a odeberte VPN, SSH klíče, API tokeny, hesla aplikací a vzdálenou správu. Opačné pořadí vás může zamknout ven z vlastního tenantu.
Musíme znát všechna původní hesla?
Ne. Podstatné je prokázané vlastnictví služby a možnost bezpečně vytvořit nebo obnovit administrátorský účet. Hesla, která znáte jen vy a bývalý správce, stejně patří k výměně. Výjimka jsou servisní účty — u těch nejdřív zjistěte, které systémy je používají, a až pak měňte.
Jak dlouho převzetí IT správy trvá?
Kritické účty se při dobré spolupráci zajistí během prvního dne. Úplná inventura, kontrola záloh a zmapování závislostí zaberou obvykle několik pracovních dnů. Nedostupný původní správce nebo služby vedené na soukromou osobu proces prodlouží o dobu, kterou určuje procedura dodavatele, ne vaše tempo.
Lze převzít doménu, když nikdo nezná přístup?
Často ano, pokud je jako držitel zapsaná firma a dokáže registrátorovi doložit svou totožnost. Je-li doména registrovaná na bývalého zaměstnance nebo externistu jako fyzickou osobu, postupuje se podle pravidel registrátora a rozhoduje smluvní dokumentace. Proto je držitel u domény důležitější údaj než to, kdo se do administrace umí přihlásit.
Jak ověříme, že zálohy opravdu fungují?
Obnovou do odděleného umístění a praktickým otevřením dat — dokument otevřít, databázi připojit k aplikaci. Zároveň ověřte, že jsou dostupné i starší verze, že máte šifrovací klíč a že existuje popsaný postup obnovy celého důležitého systému, ne jen jednotlivých souborů. Test obnovy, který nikdo nezopakoval rok, má stejnou vypovídací hodnotu jako žádný.