Krátka odpoveď: pravdepodobne aspoň jeden účet, možno viac. A vo firme presne nevedia, ktorý. Porovnanie zoznamu aktívnych používateľov vo firemných systémoch so zoznamom ľudí na mzdách je najrýchlejšia kontrola toho, aké prístupy zostávajú po odchode zamestnanca – a prakticky vždy niečo nájde.
Nie je to hypotéza. Je to najčastejší nález pri kontrole prístupových práv v ERP, e-maile aj cloudových službách. Účty ľudí, ktorí odišli pred dvoma a viac rokmi, stále fungujú. Niekedy s plnými administrátorskými právami. Občas dokonca s heslom, ktoré ten človek stále pozná, lebo sa po jeho odchode nezmenilo.
Najrýchlejšia kontrola, akú môžete spraviť
Vytiahnite dva zoznamy. Prvý: všetci aktívni používatelia vo vašom ERP, e-maile a kľúčových cloudových službách. Druhý: všetci ľudia, ktorých aktuálne vediete na mzdách. Porovnajte ich. Nezabudnite ani na VPN, vzdialený prístup a dochádzkový či kamerový systém – bývajú to samostatné zoznamy, na ktoré sa pri kontrole najľahšie zabúda.
Trvá to pol hodiny. Takmer vždy z toho vypadne aspoň jedno meno, ktoré tam nemá čo robiť. Bývalý obchodník, ktorý stále vidí ceny a zákazníkov. Bývalá účtovníčka, ktorá stále má prístup do banky. Brigádnik zo sezóny pred dvoma rokmi, ktorého účet si nikto nevšimol, lebo nikdy nespôsobil problém.
Modelová situácia: firma s 45 zamestnancami, bežné ERP a e-mail v cloude. Za posledné tri roky odišlo dvanásť ľudí. Pri kontrole sa ukázalo, že šesť ich účtov je stále aktívnych – dva s administrátorskými právami, jeden patril obchodnému zástupcovi s prístupom k celej databáze zákazníkov. Zrušenie všetkých šiestich: dvadsať minút práce, nula eur. Cena za to, keby sa do jedného z nich niekto prihlásil skôr, je o niekoľko rádov vyššia.
Ak ste pri tomto porovnaní práve teraz našli starý účet, neriešte najprv proces. Zrušte ho. Proces, ktorý zabráni ďalšiemu takému nálezu, môžete nastaviť budúci týždeň – účet, ktorý funguje už dva roky, nepotrebuje ďalší deň navyše.
Prečo je staré heslo problém, aj keď sa „nič nestalo“
Argument „ten človek odišiel v pohode, nič neurobí“ obchádza podstatu. Nejde o to, čo urobí bývalý zamestnanec. Ide o to, čo urobí ktokoľvek iný, kto sa k jeho heslu dostane.
Ľudia opakovane používajú rovnaké alebo podobné heslá naprieč rôznymi službami. Ak unikne heslo z cudzieho webu, kde mal bývalý zamestnanec účet, a on rovnaké heslo použil aj u vás, útočník má funkčný vstup do vášho systému. Bez toho, aby čo i len vedel, že sa vlámal práve k vám.
A kým je ten účet mimo pozornosti, je to presne to miesto, kde sa dá zostať nepozorovane najdlhšie. Nikto ho bežne nepoužíva. Nikto si teda ani nevšimne nezvyčajné prihlásenie.
Osobitne rizikové je to pri zdieľaných prístupoch – spoločné heslo k administrátorskej konzole, k Wi-Fi alebo k firemnému účtu v cloudovej službe. Zmenu jedného osobného hesla vybavíte za minútu. Zmenu zdieľaného hesla, ktoré pozná desať ľudí, musí niekto najprv rozposlať všetkým desiatim – a presne preto sa odkladá. Čím dlhšie sa odkladá, tým viac bývalých zamestnancov ho stále pozná.
Prečo sa to nedeje samo
Nie je to o nedbalosti jedného človeka. Je to o tom, že zrušenie prístupu pri odchode nie je jasne niečia zodpovednosť.
HR vie, že človek odišiel. Nemá však prístup do IT systémov a často ani nevie, čo všetko ten človek mal nastavené. IT vie, ako prístup zrušiť, ale nie vždy sa dozvie, kedy presne a v akom rozsahu. Priamy nadriadený rieši odovzdanie práce a na prístupy si spomenie, až keď niečo prestane fungovať – teda niekomu inému.
Výsledok: úloha padne medzi stoličky. Alebo sa spraví len časť – zruší sa prístup do hlavného systému, ale zabudne sa na cloudové úložisko, zdieľaný priečinok, skupinový chat alebo VPN.
Pomáha jednoduché pravidlo: dátum zrušenia prístupov sa naviaže na posledný pracovný deň, nie na formálny koniec výpovednej doby, a zodpovedá zaň jedna konkrétna osoba – nie „niekto z IT, keď bude mať čas“. Vo firmách, kde to funguje, je to bežná súčasť odchádzacieho pohovoru: kým zamestnanec odovzdáva prístupový preukaz, IT už spúšťa zoznam na zrušenie.
Rovnaký problém, iné meno: externý dodávateľ
To isté sa deje pri IT dodávateľoch. Pri implementácii systému dostanú prístup – logicky, potrebujú ho na svoju prácu. Spolupráca sa časom skončí, zmluva vyprší, faktúry prestanú chodiť. Účet ostane. Rovnako to platí pre externého účtovníka s prístupom do ERP, marketingovú agentúru so správou webu alebo firmu, ktorá inštalovala kamerový či dochádzkový systém. Kdekoľvek dodávateľ dostal prihlasovacie údaje, platí rovnaké pravidlo.
Bežne nachádzame administrátorské účty dodávateľov, ktorí pre firmu naposledy niečo robili pred rokmi. Nejde o nedôveru ku konkrétnemu dodávateľovi. Ide o to, že ak sa niekto dostane do systémov vášho dodávateľa – a menší dodávatelia bývajú zabezpečení horšie než ich klienti – dostane sa cez ten zabudnutý účet aj k vám.
Presne toto rieši § 19 ods. 2 zákona o kybernetickej bezpečnosti (č. 366/2024 Z. z.). Hovorí o riadení bezpečnosti dodávateľov: tretia strana so zmluvným prístupom k vašim systémom musí počas trvania spolupráce dodržiavať dohodnuté bezpečnostné opatrenia a vy máte právo si to overiť.
Pri kontrole prístupov preto nejde len o to, či dodávateľ prístup má, ale aj o to, kedy ho naposledy použil a kto o ňom vie. Ak na druhú otázku nevie odpovedať nikto, je to presne ten typ nálezu, ktorý pri kontrole zo strany úradu alebo veľkého odberateľa vyzerá najhoršie.
Riešenie nie je prístup dodávateľovi zrušiť navždy a pri každom ďalšom zásahu ho nanovo zriaďovať – to je nepraktické pre obe strany. Funkčné riešenie je dávať prístup na požiadanie. Keď dodávateľ potrebuje zasiahnuť, dostane ho, s časovým obmedzením a so záznamom, kedy, prečo a kto ho udelil. Po zásahu sa účet opäť deaktivuje. Riadenie prístupov a identít vrátane ich celého životného cyklu je napokon aj jedna z požiadaviek, ktoré na prevádzkovateľov kladie vyhláška NBÚ č. 227/2025.
Postup pri odchode zamestnanca
Nasledujúcich šesť krokov pokrýva väčšinu rizika. Nie je to zložité – treba to len spraviť v deň odchodu, nie „niekedy potom“.
- Zrušte prístup k e-mailu a kľúčovým systémom v deň odchodu. Nie o týždeň, keď bude čas. Kým je prístup aktívny čo i len deň navyše, je to riziko bez akéhokoľvek prínosu.
- Presmerujte alebo odovzdajte e-mailovú schránku. Niekto musí prevziať komunikáciu s klientmi a dodávateľmi, inak zapadne v čiernej diere zrušeného účtu.
- Zmeňte zdieľané heslá, ktoré ten človek poznal – k spoločným účtom, administrátorským konzolám, Wi-Fi aj k systémom, kde sa viacero ľudí prihlasuje jedným heslom.
- Skontrolujte a zrušte prístup k cloudovým službám a zdieľaným priečinkom, vrátane tých mimo hlavného systému – úložisko, projektové nástroje, firemný chat, aj tie, ktoré si tím založil sám bez vedomia IT.
- Odoberte fyzické prístupové karty a kľúče. Digitálny offboarding bez fyzického je len polovičná práca – neodovzdaná karta funguje bez ohľadu na to, čo ste medzitým zrušili v systémoch.
- Zaznamenajte dátum a rozsah zrušenia prístupov. Toto je dôkaz, ktorý pri kontrole prístupov naozaj ukážete – nie spomienka, že „to sme určite spravili“.
Bod šesť sa podceňuje najviac a pritom je najlacnejší. Jeden riadok v tabuľke: meno, dátum, čo bolo zrušené, kto to urobil. Bez neho ste pri kontrole odkázaní na to, že vám niekto uverí na slovo.
Koľko ľudí má prístup a koľko ho naozaj potrebuje
Toto je otázka, ktorú si kladie bezplatná previerka aj podrobnejšia GAP analýza – tá porovnáva skutočný stav s požiadavkami vyhlášky NBÚ č. 227/2025 bod po bode. Odchody zamestnancov a zabudnuté účty dodávateľov sú najčastejší dôvod, prečo je medzi týmito dvoma číslami väčší rozdiel, než by firma čakala.
Ak ešte neviete, či sa vás zákon o kybernetickej bezpečnosti týka priamo, do konca prechodného obdobia – 31. 12. 2026 – ostáva necelé tri mesiace. Oplatí sa to zistiť teraz, nie tesne pred termínom.
Ak chcete rovno preveriť, kto všetko má dnes prístup do vašich systémov a či to zodpovedá tomu, čo naozaj potrebujú, pozrite si bezpečnosť ERP.