Odpověď hned: Oprávnění nastavujte podle činnosti, ne podle pracovní pozice napsané na vizitce. Oddělte možnost dokument zobrazit, nahrát, upravit, potvrdit, exportovat a spravovat uživatele. Každá role má dostat jen přístup potřebný pro běžnou práci a výjimky mají mít vlastníka i datum kontroly.
„Správce“ může znamenat facility manažera, správce systému i externího dodavatele. Když všem třem přidělíte stejnou širokou roli, systém sice působí jednoduše, ale později se těžko vysvětluje, kdo směl měnit potvrzené údaje nebo stahovat celé portfolio dokumentů.
1. Sepište činnosti, které skutečně probíhají
Nezačínejte názvy rolí. Na jeden list napište konkrétní akce:
- zobrazit dokument a jeho přílohy,
- nahrát nový soubor,
- opravit návrh metadat,
- potvrdit zkontrolovaný údaj,
- založit nebo uzavřít navazující úkol,
- exportovat více dokumentů,
- měnit uživatele a jejich role,
- zobrazit auditní stopu.
Potom ke každé akci přiřaďte osoby, které ji potřebují v běžném týdnu. Přístup „možná se bude hodit“ zatím nepřidělujte.
2. Vytvořte malou matici rolí
Příklad pro technickou agendu může vypadat takto:
| Akce | Čtenář | Koordinátor | Schvalovatel | Administrátor |
|---|---|---|---|---|
| Zobrazit přidělené záznamy | ano | ano | ano | ano |
| Nahrát dokument | ne | ano | ano | podle potřeby |
| Upravit pracovní metadata | ne | ano | ano | podle potřeby |
| Potvrdit kritický údaj | ne | ne | ano | ne automaticky |
| Hromadně exportovat | ne | podle potřeby | podle potřeby | podle potřeby |
| Spravovat role | ne | ne | ne | ano |
Tabulka není univerzální vzor. Slouží jako otázka pro vlastní provoz. Zejména administrátor systému nemusí být odborným schvalovatelem dokumentu a odborník nemusí spravovat uživatelské účty.
3. Oddělte návrh a potvrzení
Kdo dokument nahrál nebo opravil automatický návrh, nemá být ve všech citlivých scénářích jedinou osobou, která výsledek potvrdí. Rozdělení rolí pomáhá zachytit omyl a odlišit technické zpracování od odborného rozhodnutí.
U malého týmu nemusí být vždy možné mít dvě osoby. Pak alespoň oddělte stavy: pracovní návrh, zkontrolováno a potvrzeno. Systém má zaznamenat vědomé potvrzení, nikoli tiše považovat uložení formuláře za odborný souhlas. Tento princip navazuje na Co je InvoAIM: náhled, potvrzení a auditní stopa.
4. Vyzkoušejte roli na testovacím účtu
Nastavení v tabulce nestačí. Pro každou roli použijte testovací účet bez skutečných zákaznických dat a projděte běžné i zakázané scénáře:
- uživatel najde potřebný objekt a dokument,
- provede povolenou změnu,
- pokusí se o nepovolený export nebo potvrzení,
- zkusí otevřít jinou část agendy přímou adresou,
- odhlásí se a znovu ověří, že změna role platí.
Kontrolujte výsledek, ne jen skryté tlačítko. Server musí nepovolenou operaci odmítnout i tehdy, když někdo zná přímou adresu.
5. Výjimka potřebuje důvod a konec
Dočasné zastupování řešte vlastní rolí nebo časově omezenou změnou, ne sdílením hesla. Zapište důvod, schvalující osobu a okamžik, kdy se oprávnění znovu prověří. Po návratu kolegy výjimku skutečně odeberte.
NÚKIB ve svém aktuálním manuálu pro nižší režim uvádí princip nejnižších možných oprávnění potřebných pro práci a evidenci přidělených přístupů. Ne každá organizace pod tento režim spadá; princip je zde použit jako bezpečnostní vodítko, nikoli jako tvrzení o univerzální zákonné povinnosti.
6. Kontrolujte změny lidí i práce
Revizi přístupů spouští nástup, změna odpovědnosti, dlouhodobé zastupování a odchod. Vedle toho nastavte pravidelný seznam aktivních účtů a výjimek. Kontrolující osoba má rozumět agendě; samotný technický administrátor nemusí vědět, zda externí technik stále pracuje pro daný objekt.
Co si nechat ukázat v InvoAIM
Přineste vlastní matici pěti až deseti činností. Při ukázce InvoAIM chtějte sestavit jednu omezenou roli, ověřit povolenou a zakázanou akci a dohledat změnu oprávnění. Zvlášť se ptejte na export, mazání, potvrzení dokumentu a správu uživatelů; široké slovo „přístup“ tyto rozdíly schovává. Práci s citlivými podklady doplňuje článek Smíme dát firemní dokumenty do AI?.
Časté otázky
Má mít vedoucí automaticky všechna oprávnění?
Ne. Potřebuje přístup odpovídající své odpovědnosti. Administrace systému, odborné potvrzení a hromadný export jsou rozdílné činnosti.
Je možné používat společný účet pro směnu?
Společný účet zhoršuje dohledatelnost a správu přístupů. Pro běžnou práci používejte účty přiřazené konkrétním osobám a role nastavte podle činnosti.
Jak řešit externího technika?
Dejte mu jen rozsah potřebný pro konkrétní spolupráci, určete vlastníka přístupu a okamžik kontroly nebo odebrání. Nepředávejte cizí heslo.
Jak často role kontrolovat?
Při každé změně pracovní náplně nebo vztahu a také v intervalu, který si organizace stanoví podle rizika. Článek neurčuje univerzální zákonnou periodu.
Ověřené zdroje: NÚKIB — Manuál pro poskytovatele v režimu nižších povinností a GDPR, článek 32 na EUR-Lex, kontrolováno 7. září 2026. Konkrétní právní režim organizace musí posoudit její odpovědná osoba.
Obal je ilustrace vytvořená pomocí AI.