Ako zamestnancovi odobrať všetky prístupy a doložiť výsledok

Proces odchodu zamestnanca je dokončený až vtedy, keď organizácia vie doložiť, že všetky príslušné prístupy skončili v určenom čase a potrebné pracovné záznamy aj zodpovednosti zostali zachované. Deaktivácia jedného účtu v adresári je dôležitá, ale sama nepotvrdzuje, že sa vyriešili cloudové relácie, lokálne aplikačné účty, tokeny API, zdieľané prihlasovacie údaje, zariadenia, fyzické prístupové karty aj delegované zodpovednosti.

Spoľahlivý postup prepája HR, manažéra, IT, bezpečnosť, správu budov, právnikov a vlastníkov aplikácií okolo jednej smerodajnej udalosti. Rozlišuje plánovaný odchod od naliehavého či rizikového ukončenia. Každému vlastníkovi systému určí úlohu, potvrdí výsledok a vytvorí podklady na neskoršiu kontrolu.

Cieľ kontroly: po účinnom ukončení vzťahu už bývalý pracovník nemôže začať ani pokračovať v neoprávnenom prístupe, použiť prehliadnutú identitu, schvaľovať transakcie, získavať firemné údaje ani si zachovať kontrolu nad firemným majetkom. Organizácia dokáže doložiť každý podstatný krok a vysvetliť každú schválenú výnimku.

Táto príručka poskytuje praktický prevádzkový model založený na súčasných kontrolách NIST, aktuálnych usmerneniach Microsoft Entra a príslušných príkladoch kontroly prístupu v EÚ skontrolovaných 12. septembra 2026. Nepredpisuje jedno univerzálne pravidlo časovania. Správny termín závisí od rizika, zákona, pracovného procesu, zmluvných povinností a príslušných systémov.

Pri odchode treba vyriešiť viac než používateľský účet

Offboarding sa často považuje za zoznam účtov. Skutočný problém má najmenej šesť vrstiev:

1. identita: skončí pracovný pomer alebo zmluvný pomer a musí sa zmeniť smerodajný status.
2. autentifikácia: heslá, certifikáty, kľúče, tokeny a aktívne relácie môžu naďalej fungovať.
3. autorizácia: skupiny, roly a ďalšie oprávnenia môžu zostať platné aj po zmene účtu.
4. Vlastníctvo: súbory, schránky, automatizácie, servisné účty, úložiská a pracovné postupy môžu naďalej závisieť od odchádzajúceho človeka.
5. Majetok a fyzický prístup: notebooky, telefóny, vstupné karty, kľúče a vymeniteľné médiá treba prevziať späť alebo zabezpečiť.
6. Záznamy a ich uchovávanie: pracovné záznamy musia zostať dostupné podľa pravidiel uchovávania, ochrany súkromia a zákonných požiadaviek. Na ich zachovanie však netreba ponechať nepotrebný používateľský prístup.

Postup pokrývajúci iba prvú vrstvu môže v systéme tiketov vyzerať úspešne, hoci inde prístup zostáva.

Určte, z ktorého záznamu sa spúšťa odobratie prístupov

Každý proces odchodu potrebuje dôveryhodný zdroj troch faktov: kto odchádza, kedy sa má prístup zrušiť a aký postup zodpovedá riziku. Pri zamestnancoch je smerodajným zdrojom zvyčajne HR. Pri dodávateľoch môže stav spravovať nákup, tím správy dodávateľov alebo zodpovedný garant. Technický postup nemá odhadovať čas ukončenia z predmetu e-mailu ani čakať na výklad voľného textu správcom.

Zaznamenajte stabilnú identitu osoby, typ pracovného vzťahu, manažéra, dátum a čas účinnosti, časové pásmo, zamestnávajúci subjekt, známe aliasy, rizikovú kategóriu a oprávnených príjemcov. Použite len nevyhnutné osobné údaje. Citlivé podrobnosti sprístupnite iba ľuďom, ktorí ich potrebujú.

Pri plánovanom odchode môžete vopred pripraviť odovzdanie zodpovedností, prenos údajov, vrátenie vybavenia a kontrolu aplikácií. Prístup sa odoberie v schválenom čase. Okamžité alebo nedobrovoľné odchody potrebujú koordinovaný postup spustený HR alebo povereným vedúcim. Ak je to potrebné a zákonné, dotknutá osoba sa o jednotlivých krokoch vopred neinformuje.

Lehoty nastavte podľa rizika

Jedna lehota nevyhovuje každému odchodu. Správca produkcie, schvaľovateľ platieb či pracovník s prístupom k citlivému výskumu predstavujú iné riziko než sezónny pracovník s jednou nízkorizikovou aplikáciou. Určte kategórie, ktoré zodpovední ľudia dokážu jednotne uplatňovať.

Organizácia by mala zdokumentovať očakávaný čas dokončenia pre každú úroveň rizika a triedu systému. NIST SP 800-53 zámerne používa organizáciou definované obdobie na deaktiváciu účtov, ktoré už nie sú spojené s používateľom. Tento prístup si vyžaduje obhájiteľný výber a meranie, nie nedefinovaný prísľub konať „okamžite“.

Postup pred odchodom, pri odchode a po ňom

Nasledujúca časová os oddeľuje prípravu, zrušenie a overenie. Prispôsobte to pracovnému právu, kolektívnym zmluvám a vnútornej politike.

Pred dátumom účinnosti

• Potvrďte smerodajný záznam odchodu a presné časové pásmo.
• Identifikujte všetky účty, roly, skupiny, privilegované priradenia, zariadenia, prihlasovacie údaje a fyzické prístupové práva spojené s osobou.
• Požiadajte manažéra, aby určil firemné súbory, poštu, kalendáre, repozitáre, automatizácie a schvaľovacie zodpovednosti, ktoré treba odovzdať.
• Znova priraďte vlastníctvo servisných účtov, aplikácií, kryptografických materiálov a integračných prihlasovacích údajov.
• Odstráňte nepotrebný privilegovaný prístup skôr, keď ho už osoba nepotrebuje na plnenie povinností.
• Naplánujte vrátenie zariadení a postup uzamknutia či prevzatia zariadení používaných na diaľku.
• Zaznamenajte právne povinnosti zachovať údaje, lehoty uchovávania a oprávnený prístup k firemným záznamom.
• Pripravte komunikáciu a spracovanie výnimiek bez odhalenia dôverných informácií o ukončení.

V čase účinnosti odchodu

• Deaktivujte identitu v rozhodujúcom zamestnaneckom zdroji alebo primárnom adresári.
• Zrušte obnovovacie tokeny a aktívne relácie podporované poskytovateľom identity.
• Zakážte alebo odstráňte prístup k lokálnej a federatívnej aplikácii.
• Odoberte privilegované roly, prístupy ku cloudovým predplatným, databázové oprávnenia, členstvá v systémoch správy zdrojového kódu a vzdialené prístupy.
• Zakážte registrované zariadenia tam, kde to vyžadujú pravidlá a riziko.
• Zrušte VPN, certifikáty, kľúče SSH, tokeny API a osobné prístupové tokeny.
• Odoberte prístup do budovy, dátového centra a vyhradených priestorov.
• Zmeňte zdieľané prihlasovacie údaje, ktoré človek poznal, ak ich použitie nemožno priradiť jednotlivcovi.
• Zaznamenajte dokončenie alebo zlyhanie každej cieľovej akcie.

Po čase účinnosti odchodu

• Porovnajte stav identity v cieľových systémoch s očakávaným stavom; nespoliehajte sa len na úspešnú odpoveď procesu.
• Preskúmajte aktívne relácie alebo tokeny špecifické pre aplikáciu, ktoré centrálny poskytovateľ identity nemôže odvolať.
• Overte prevody vlastníctva a naplánované úlohy.
• Potvrďte vrátenie zariadenia, diaľkové uzamknutie alebo schválenú výnimku.
• Monitorujte pokusy o prihlásenie a anomálne použitie podľa pravidiel.
• Poskytnite správu o výnimkách zodpovedným vlastníkom.
• Prípad uzavrite až po overení kritických krokov. Pri zvyšných úlohách určte zodpovedné osoby a termíny.

Deaktivácia identity nie vždy ukončí reláciu

Moderné overovanie používa niekoľko druhov tokenov a relácií. Centrálny poskytovateľ identity môže blokovať nové prihlásenia a odvolať tokeny, ktoré riadi, ale aplikácie si môžu uchovávať svoje vlastné súbory cookie relácie. Aktuálna dokumentácia Microsoft Entra vysvetľuje, že token relácie riadi aplikácia, ktorá ho vydala. Entra ID preto jej reláciu nemôže priamo zrušiť. Niektoré aplikácie oprávnenia pravidelne overujú, iné sa počas platnej relácie nemusia znova obrátiť na poskytovateľa identity.

Microsoft Entra pri núdzovom odobratí prístupu opisuje deaktiváciu používateľa a zneplatnenie prihlasovacích relácií. V hybridnom prostredí môžu byť potrebné aj kroky v lokálnom Active Directory, na registrovaných zariadeniach a v pripojených službách. Ide o príklad pre jednu platformu, nie o úplný postup odchodu zamestnanca.

V katalógu aplikácií zaznamenajte odpovede na otázky:

• Závisí prihlásenie od centrálneho poskytovateľa identity?
• Čo sa stane s existujúcou reláciou aplikácie po deaktivácii centrálneho účtu?
• Má aplikácia lokálnych používateľov, metódy obnovy alebo tokeny API?
• Môže organizácia zrušiť relácie prostredníctvom rozhrania API?
• Kto zodpovedá za manuálny náhradný postup, ak automatické odobratie zlyhá?
• Ako sa bude zosúlaďovať konečný stav?

Tieto informácie premenia neurčitú úlohu „deaktivovať používateľa“ na overiteľné opatrenie.

Nájdite prístup, ktorý poskytovatelia identity nevidia

Najnebezpečnejší zvyškový prístup sa často nachádza mimo primárneho adresára. Príklady:

• miestne administrátorské a databázové účty;
• osobné prístupové tokeny pre správu zdrojového kódu a kľúče na nasadenie;
• cloudové prístupové kľúče, identity služieb (service principals) a prihlasovacie údaje aplikácií;
• Účty SaaS vytvorené s osobnou alebo sekundárnou e-mailovou adresou;
• záznamy v trezore hesiel a zdieľané tajomstvá;
• VPN profily a klientske certifikáty;
• SSH kľúče skopírované na servery alebo sieťové zariadenia;
• relácie mobilných aplikácií;
• podporné portály prevádzkované dodávateľmi;
• vstupné karty, kľúče a systémy evidencie návštev;
• delegovaná schránka, kalendár, platobná a schvaľovacia právomoc.

Prehľad aplikácií pomáha iba vtedy, ak prepája systémy s vlastníkmi a zdrojmi identít. Neznáme používanie SaaS nemožno spoľahlivo ukončiť podľa katalógu, ktorý o ňom nevie. Pri zisťovaní využite nákupné záznamy, logy jednotného prihlásenia, údaje prehliadačov či zariadení tam, kde to zákon dovoľuje, prehľad výdavkov, znalosti manažérov a pravidelné kontroly prístupov. Cieľom je primeraný prehľad pracovných prístupov, nie bezúčelné sledovanie.

Privilegovaný prístup mení poradie

Pri rizikovom odchode musí byť postup koordinovaný, aby medzi krokmi nezostal nežiaduci prístup a jeden krok neznemožnil ďalší. Ak človek spravuje infraštruktúru identít, tím riešiaci odchod potrebuje nezávislé účty a overený núdzový prístup. Ak spravuje nasadzovanie, trezory alebo šifrovacie kľúče, odovzdanie zodpovednosti a obnovu overte ešte pred jeho odchodom.

Pri odchode človeka s privilegovanými prístupmi zvážte:

1. určiť trvalo pridelené roly, roly oprávnené na aktiváciu a časovo obmedzené roly;
2. identifikovať alternatívne účty a aliasy;
3. prevod vlastníctva automatizácie a prihlasovacích údajov;
4. podľa potreby odobrať nepotrebné trvalé oprávnenia ešte pred odchodom;
5. koordinovať konečné zrušenie v rámci adresára, cloudu, siete, koncových bodov a fyzického prístupu;
6. zmeniť zdieľané prihlasovacie údaje, ktorých používanie nemožno priradiť jednotlivcom;
7. preverte nedávnu privilegovanú činnosť v rámci oprávneného bezpečnostného postupu alebo vyšetrovania vnútorných rizík; a
8. otestovať núdzový prístup po zmene vlastníctva.

Nevytvárajte tajný paralelný proces, ktorému chýba zodpovednosť. Nakladanie s vysokým rizikom si stále vyžaduje autorizované začatie, oddelenie povinností, časové pečiatky a preskúmateľný záznam.

Firemné údaje odovzdajte podľa schválených pravidiel

Pri odchode zachovajte kontinuitu práce bez toho, aby manažéri získali neobmedzený prístup k osobným či nesúvisiacim materiálom. Určte pravidlá pre schránky, disky, chaty, zákaznícke záznamy, repozitáre, notebooky a lokálne súbory. Právnici a ľudia zodpovední za súkromie a správu záznamov posúdia, čo sa uchová, kto k tomu môže pristupovať, na aký účel a na ako dlho.

Odovzdanie zodpovednosti neznamená ponechanie prístupu. Proces môže previesť zodpovednosť za zdieľanú schránku, repozitár či automatizáciu a zároveň deaktivovať účet odchádzajúceho človeka. Nenechávajte jeho účet aktívny iba preto, že od neho závisí plánovaná úloha alebo zdieľané súbory. Takéto závislosti nahraďte riadenými servisnými identitami alebo zdrojmi pod správou tímu.

Vymazanie by malo byť samostatné neskoršie rozhodnutie. Okamžité vymazanie môže zničiť dôkazy, porušiť povinnosť uchovávania alebo sťažiť obnovu. Neobmedzené uchovávanie môže tiež porušovať pravidlá alebo požiadavky na ochranu osobných údajov. Zaznamenajte si obdobie uchovávania a autorizovanú udalosť vymazania alebo anonymizácie.

Postup pri odchode platí aj pre dodávateľov a dočasných pracovníkov

Prístup dodávateľa často zlyhá, pretože žiadny systém neposkytuje spoľahlivú koncovú udalosť. Sponzor požaduje prístup na začiatku projektu, ale nikto nezaznamená skutočný koniec. Účet prežije, kým ho neodhalí pravidelná kontrola.

Pri každej externej identite vyžadujte garanta, účel a koniec platnosti. Pred prístupom na neurčitý čas uprednostnite automatické ukončenie s kontrolovaným predlžovaním. Ak dodávateľ spravuje konkrétnych pracovníkov, vyžadujte včasné oznámenie ich zmien. Dôslednejšie kontrolujte vzdialené, privilegované a produkčné prístupy. Keď garant odíde, prideľte jeho identity novému garantovi alebo ich pozastavte.

Rovnaký princíp platí pre stážistov, agentúrnych pracovníkov, dobrovoľníkov a dočasných zamestnancov. Typ vzťahu môže meniť osobu, ktorá oznámi odchod, nie potrebu zodpovedného vlastníka, konca platnosti a podkladov.

Zmeňte zdieľané prihlasovacie údaje

Individuálne účty možno zvyčajne deaktivovať. Zdieľané prihlasovacie údaje vyžadujú inú odpoveď, pretože odchádzajúca osoba si môže zachovať znalosti o autentifikátore. NIST SP 800-53 AC-2 vyžaduje proces zmeny autentifikátorov zdieľaných alebo skupinových účtov, keď sú jednotlivci odstránení zo skupiny.

Najprv obmedzte zdieľané účty. Uprednostnite osobné identity, delegovaný prístup alebo systém privilegovaného prístupu, ktorý zaznamená konkrétneho používateľa. Ak je zdieľanie nutné, zdokumentujte vlastníka, oprávnených používateľov, spôsob získania prihlasovacích údajov, dotknuté systémy a pravidlá ich zmeny. Pri odchode má vzniknúť úloha na zmenu údajov aj overenie, že ich dotknuté systémy prijali.

Rovnako posudzujte kľúče API, podpisové kľúče, certifikáty a obnovovacie kódy. Odstránenie používateľa z repozitára nezneplatní skopírovaný nasadzovací kľúč. Odobratie členstva v trezore nezmení heslo, ktoré si osoba už prevzala.

Uchovajte záznamy, z ktorých zistíte štyri veci

Opatrenie AC-2 v NIST SP 800-53 prepája správu účtov s odchodmi a zmenami pracovného zaradenia. Jeho rozšírenia riešia automatizáciu, deaktiváciu účtov, auditné záznamy a vysokorizikové osoby. NIST SP 800-53A opisuje overovanie týchto požiadaviek: napríklad či správcovia dostanú oznámenie o odchode v určenej lehote a či deaktivácia a odstraňovanie účtov zodpovedajú pravidlám.

Záznam o odchode má odpovedať na tieto otázky:

Kto povolil akciu?

Uchovajte smerodajnú personálnu, zmluvnú alebo bezpečnostnú udalosť, čas účinnosti, rizikovú kategóriu a oprávneného iniciátora. Citlivé dôvody sprístupnite iba príslušným osobám.

Ktoré systémy a prístupy sa riešili?

Zaznamenajte pripojené systémy, zistené účty, privilegované oprávnenia, zariadenia, fyzické prístupy a zdroje pod správou odchádzajúcej osoby. Uveďte aj známe systémy mimo automatizácie.

Čo sa vlastne stalo?

Pre každú akciu zachovajte požadovaný čas, čas vykonania, cieľovú odpoveď, opakovanie, manuálneho vlastníka a konečný stav. Rozlišujte „pracovný postup odoslaný“ od „cieľ overený“.

Čo zostalo otvorené?

Zaznamenajte výnimky, ich pracovné odôvodnenie, náhradné opatrenia, zodpovedného človeka a koniec platnosti. Prípad neuzatvárajte, ak kritické zlyhanie zostalo bez dohľadu a nikto ho nerieši.

Merajte proces tak, aby ste neodmeňovali vynechávanie krokov

Užitočné ukazovatele zahŕňajú:

• medián a najdlhší čas od účinnosti odchodu po potvrdené odobratie prístupov podľa rizikovej úrovne;
• percento kritických cieľových akcií dokončených v rámci politiky;
• počet neúspešných alebo manuálne dokončených akcií;
• počet účtov zistených po uzavretí prípadu;
• aktívne účty bez autoritatívnej identity alebo vlastníka;
• privilegované práva zostávajúce po odchode;
• relácie alebo tokeny, ktoré prežijú deaktiváciu primárneho účtu;
• zdieľané prihlasovacie údaje, ktoré ešte neboli zmenené;
• majetok nevrátený v dohodnutom termíne; a
• odovzdania zodpovednosti po termíne a nevyriešené výnimky.

Neodmeňujte tímy iba za rýchle uzatváranie tiketov. Rýchle uzavretie bez overenia nadväzujúcich účtov je horšie než otvorene priznaná výnimka s pridelenou zodpovednosťou. Popri rýchlosti merajte úplnosť a kvalitu podkladov.

Postup si otestujte skôr, než príde naliehavý prípad

Vytvorte testovaciu identitu s typickými prístupmi a spustite plánovaný odchod. Overte zdrojové údaje, adresár, SaaS, cloud, privilegované prístupy, tokeny, zariadenia aj fyzický vstup. Ak je to bezpečné, v rámci povoleného testu skúste prihlásenie po odobratí práv. Výsledným záznamom má rozumieť aj človek, ktorý test nevykonával.

Testy opakujte po zásadných zmenách integrácií, HR, adresárov či aplikácií. Zahrňte aj zlyhania: nedostupný systém, nesprávne priradený účet, limit počtu požiadaviek API alebo systém bez automatického konektora. Postup má vytvoriť viditeľnú výnimku a eskaláciu, nie nepravdivo oznámiť celkový úspech.

Pri rizikových odchodoch koordinujte HR, bezpečnosť, IT a správu budov. Určte, kto smie proces spustiť, kto zastúpi odchádzajúceho správcu a ako sa kontrolujú núdzové prihlasovacie údaje.

Praktický kontrolný zoznam dokončenia

Pred uzavretím odchodu overte, že:

• autoritatívna identita ukazuje správny stav ukončenia a čas;
• nové prihlásenie je zablokované v centrálnych a relevantných miestnych úložiskách identity;
• centrálne obnovovacie tokeny a podporované relácie sú zrušené;
• relácie v aplikáciách a lokálne účty boli vyriešené;
• privilegované, núdzové a delegované roly sú odstránené;
• VPN, certifikáty, kľúče SSH, tokeny API a osobné prístupové tokeny sú zrušené;
• zdieľané prihlasovacie údaje známe odchádzajúcej osobe boli zmenené;
• zariadenia sú vrátené, deaktivované, uzamknuté alebo sa na ne vzťahuje schválená výnimka;
• fyzický prístup je odstránený;
• pracovné záznamy a zodpovednosti sa odovzdajú podľa schválených pravidiel;
• identity služieb a automatizácie majú zodpovedných vlastníkov;
• cieľové systémy sú zosúladené s očakávaným stavom;
• zlyhania a výnimky majú vlastníkov, termíny a eskaláciu; a
• auditný záznam sa uchováva podľa platných pravidiel.

Kontrolný zoznam pomáha rozhodnúť, či možno prípad uzavrieť. Nenahrádza samotný prevádzkový proces. Dôveryhodnosť každej potvrdenej položky zabezpečujú automatizácia, jasná zodpovednosť a zosúlaďovanie.

Kde pomáha správa identít

Riadenie identít dokáže prepojiť smerodajné udalosti odchodu s účtami a oprávneniami, vykonať postupy podľa pravidiel, koordinovať vlastníkov aplikácií, zaznamenať schválenia aj výnimky a overiť výsledky. Je obzvlášť užitočné v rôznorodom prostredí, kde jedna osoba pristupuje k adresárom, SaaS, infraštruktúre aj podnikovým aplikáciám.

Platforma stále potrebuje spoľahlivé údaje a pridelenú zodpovednosť. Bez zodpovedného vstupu neodoberie neznámy účet, neurčí zákonnú lehotu uchovávania ani nerozhodne, kto má prevziať firemný proces. Implementácia má nedostatky a zlyhania ukázať, nie ich skryť za zelený prehľad stavu.

Výsledok má byť jednoduchý na vysvetlenie: organizácia pozná čas odchodu aj dotknuté účty a vybavenie, vykonala potrebné kroky, overila konečný stav a vie ho doložiť. Odchod tak nie je iba administratívnym zoznamom úloh, ale skutočnou kontrolou prístupov a zodpovedností.

Pred výberom platformy potvrďte rozsah produktu

Pri pilotnom nasadení easyIGA sledujte odchod zamestnanca cez navrhnuté konektory až po výsledný stav účtu. Zahrňte aj nedostupnú aplikáciu, aby ste videli, ako sa zaznamená nedokončené odobratie prístupu. V prehľade záznamov vysvetľujeme zachytené schválenia, prístupy pridelené mimo easyIGA aj chýbajúcu históriu. Skúsenosti nášho tímu zo 14+ implementácií midPointu využívame pri návrhu postupu, ktorý sleduje odobratie prístupu až po zaznamenaný výsledok.

Pokračujte v implementácii

Pre širší operačný model si prečítajte čo znamená riadenie a správa identít. Finančné subjekty môžu porovnať túto príručku s požiadavkami DORA na riadenie prístupov.

Zdroje a overovací záznam

Rozsah produktu a redakčné znenie aktualizované dňa 24. septembra 2026. Pôvodné dátumy kontroly zdroja uvedené nižšie zostávajú dátumami týchto kontrol.

Všetky zdroje a licencia na obrázok boli skontrolované 12. septembra 2026.

1. NIST SP 800-53 Revízia 5 (vrátane vydania 5.2.0), Bezpečnostné a ochranné prvky pre informačné systémy a organizácie
2. NIST SP 800-53A Revízia 5, postupy hodnotenia
3. V prípade núdze zrušte prístup používateľa v Microsoft Entra ID, Microsoft Learn
4. Sprievodca nasadením ID Governance Microsoft Entra pre automatizáciu životného cyklu zamestnancov
5. Automatizácia úloh pri odchode zamestnancov pomocou Lifecycle Workflows, Microsoft Learn
6. Delegované nariadenie Komisie (EÚ) 2024/1774, články 19 až 21, EUR-Lex
7. Foto: Vitaly Gariev, Unsplash, použitá v súlade s licenciou Unsplash License

Článok poskytuje usmernenie k prevádzkovej bezpečnosti a správe identít. Pracovnoprávne pravidlá, ochrana súkromia, uchovávanie záznamov a monitorovanie sa líšia podľa jurisdikcie. Požiadavky si potvrďte s právnikmi, HR a odborníkmi na súlad s predpismi.