עובד נעצר, מאושפז או נפטר עם סיסמאות מנהל יחיד: התאוששות גורם 1 של אוטובוס עסקי ומכתב אישור נוטריוני¶

כאשר מנהל ה-IT הבלעדי של חברה, מייסד שותף טכני, מוביל או בקר DevOps מת פתאום, סובל משבץ או טראומה בלתי תקינה ביחידה לטיפול נמרץ, נעצר ומוחזק ללא ערבות, או יוצא בעוינות בעודו מחזיק בסיסמת השורש היחידה, החומרה YubiKey ואימות רב-גורמי SMS/מאמת (MFA) מכשיר עבור AWS, Google Workspace, Microsoft 365, Cloudflare, רשם דומיינים או חשבונות בנק מסחריים שלך, העסק עומד בפני "Bus Factor of 1" Single-Point-of-Failure Lockout קיומית. תוך ימים או שעות, תוקף תעודות SSL פג, כשלי חיוב אוטומטיים מאיימים להשבית את שרתי הייצור, לא ניתן לשחרר את שכר השכר, או שמנהל לשעבר עוין שומר על היכולת למחוק מסדי נתונים של ייצור ממחשב נייד אישי. אם העסק שלך חווה משבר רפואי באתר או אירוע חבלה פלילי פעיל או סחיטה על ידי מנהל נוכל, התקשר למספר החירום המקומי שלך (911 בארצות הברית וקנדה, 112 ברחבי האיחוד האירופי, 999 בבריטניה) דרך שלנו מספרי חירום מדריך ולבדוק מיד מוות של איש מפתח, אובדן כושר עבודה של מייסד, וירושה עסקית חירום, פיטורי עובדים ואבטחת מקום העבודה, ו רשם הדומיינים או חשבון הענן של AWS הושעו עקב כשל בחיוב או סימון שימוש לרעה.

פריצת נעילה ניהולית של נקודת כשל בודדת מבלי להפעיל נעילות אוטומטיות נגד השתלטות בענן דורשת רצף שחזור ממושמע ומקביל: שמירה על כרטיס האשראי לחיוב פעיל כדי שתשתית הייצור לא תסתיים אוטומטית בזמן שאתה ננעל בחוץ, החזרת השליטה בתיבת הדואר האלקטרוני של מנהל המערכת ובמספר טלפון MFA של ה-SMS לארגונים (הקצאה מחדש של SIM טלקום של החברה)AT&T Premier, Verizon Business, T-Mobile for Business) או מיצוי הפעלה מקומית של דפדפן פעיל, והגשת חבילת שחזור רשמית תאגידית (מכתב אישור נוטריוני [LOA], תקנון מזכיר המדינה, מכתב IRS EIN, ו DNS TXT הוכחת רשומות) ל-AWS, Google Workspace, Microsoft 365 ולרשם הדומיינים שלך ב-ICANN.

תעשה את זה עכשיו¶

1. אל תבטל את כרטיס האשראי הארגוני או חשבון הבנק של ACH שמשלמים עבור שרתי הענן, רשם הדומיינים או כלי ה-SaaS שלך בזמן שאתה סגור בחוץ. הטעות ההרסנית ביותר שמנהלים עושים כאשר מייסד מת או מנהל יחיד נעצר היא לומר לבנק להקפיא את כרטיס האשראי הארגוני המופיע עם AWS, Azure, Google Cloud, או Cloudaddy. אם חיוב חידוש קופץ בזמן שאף אחד לא יכול להיכנס כדי לעדכן את הכרטיס, סקריפטים אוטומטיים לחיוב בענן ישהו וימחקו לצמיתות את המכונות הוירטואליות הייצור, דלי S3 ומסדי נתונים של לקוחות. שמור את כרטיס החיוב ממומן ופעיל עד לשחזור השליטה הניהולית.
2. לעולם אל תלחצו על מסך הכניסה לבסיס עם ניחושי סיסמאות או דחיפות חוזרות ונשנות של MFA. הזנת סיסמאות שנכשלו או הפעלת דחיפות MFA של Duo/Okta/Authenticator לא מאושרות 5 עד 10 פעמים ברציפות השתלטות אוטומטית על חשבון (ATO) נעילות הונאה ב-AWS, Microsoft Entra ID, Google ובנקים, מקפיאות את החשבון אפילו מפני זרימות לגיטימיות של איפוס סיסמה ומנתבים את החברה שלך לתור סקירת אבטחה ידנית של 14 יום.
3. בדוק אם המחשב הנייד או השולחן העבודה של מנהל המערכת הפגום או הנעדר עדיין מופעלים עם הפעלת דפדפן לא נעולה או מפתח SSH שמור. לפני אתחול מחדש או מחיקת ה-MacBook או ה-Windows PC של החברה של עובד, בדוק אותו בקפידה (או בקש ממומחה IT לזיהוי פלילי לבדוק אותו תוך שמירה על המחשב ערה): פרופיל פתוח ל-Chrome/Edge של Google Admin, Microsoft 365, Cloudflare או 1Password/Bitwarden, והמקומי .ssh או .aws/credentials התיקיה מכילה לעתים קרובות מפתחות ממשק API פעילים של IAM או קודי שחזור (google-backup-codes.txt) ב Downloads תיקייה המאפשרת לך לקדם סופר אדמין שני באופן מיידי מבלי לגעת ב-MFA.
4. אם מספר טלפון ה-MFA של מנהל המערכת נמצא בחשבון סלולרי תאגידי, בצע החלפת SIM מורשית למנהל טלקום במכשיר של החברה. התקשר לנציג החשבון של הספק הסלולרי הארגוני שלך (AT&T Premier / Business, Verizon Business My Business, T-Mobile for Business, Vodafone Business, Rogers/Bell Business) או להיכנס לחנות קמעונאית תאגידית עם מזהה מס תאגידי (EIN), תדפיס קצין מזכיר המדינה ומזהה תמונה ממשלתית. כבעלים החוקיים של הקו האלחוטי של החברה, העבר את מספר הטלפון של מנהל המערכת ל-eSIM נקי או כרטיס SIM פיזי שבידך; בתוך 5 דקות, אתה יכול לקבל SMS MFA קודי ושיחות אימות קולי אוטומטיות לאיפוס אימייל וכניסות שורש בענן.
5. השיג מחדש את השליטה בשם הדומיין הראשי שלך (DNS) ושרת הדוא"ל תחילה, מכיוון שהם המפתחות הראשיים לכל חשבון אחר. בשחזור חשבון ארגוני, שליטה על DNS אזור מהווה הוכחה לבעלות תאגידית. ברגע שתשלוט ברשם הדומיינים או במארח ה-DNS שלך (Cloudflare, Route 53, GoDaddy, Namecheap, CSC), תוכל לפרסם את החובה DNS TXT או CNAME אסימון אימות נדרש על ידי Google Workspace, Microsoft 365, AWS ו-Slack כדי להסיר מנהל MFA מת או לא זמין ולקדם מנהל-על חדש.
6. הרכיבו "חבילת שחזור רשות תאגידית ואוטובוסים" סטנדרטית, חתומה על ידי נושא משרה תאגיד ואושרה על ידי נוטריון היום. כל ספק ענן גדול, רשם ICANN ובנק מסחרי דורשים את אותם חמשת מסמכים משפטיים כדי לעקוף מנהל יחיד מת, חסר יכולת או נוכל: (1) אישור תאגידי LOA) על נייר מכתבים של החברה, (2) מאושר תקנון/ארגון ואישור מזכיר המדינה על מעמד תקין הנותנים שם של פקיד החתימה, (3) מכתב האישור של IRS CP 575 EIN שלך (או רישום מס לאומי), (4) **3 החודשים האחרונים של ספקי בנק/תשלומי חיוב של ספקים ב-C+ של התשלום האדום בבנק/C. חשבוניות, ו-(5) סריקות צבע ברזולוציה גבוהה של דרכון או רישיון נהיגה של קצין החתימה (בתוספת תעודת פטירה, מכתב אי כושר בבית החולים או רישום מעצר/סיום משטרתי אם רלוונטי).

עץ ההחלטות: שבירת נעילת "Bus Factor of 1" של מנהל יחיד בענן, DNS ובנקאות¶

flowchart TD
    A["מנהל יחיד / מייסד / מנהל חשבונות נפטר, מאושפז, נעצר או נעדר בעוינות עם כל סיסמאות הבסיס ו-MFA"] --> B["שלב 1: אל תבטל כרטיסי אשראי לחיוב -> שמור הפעלות פתוחות של דפדפן מחשב נייד, מקשי .ssh וקודי גיבוי של תיקיות הורדות"]
    B --> C{"האם אתה שולט בתיבת הדוא'ל הארגונית של מנהל המערכת (למשל, admin@yourcompany.com) או במספר הנייד שלו ב-MFA?"}
    C -->|"כן: קו נייד נמצא בחשבון אלחוטי תאגידי (AT&T, Verizon, T-Mobile, Vodafone)"| D["בצע החלפת SIM/eSIM של חברות טלקום לטלפון נקי של חברה -> יירוט SMS/קולי MFA + איפוס סיסמאות דוא'ל ובסיס ענן"]
    C -->|"לא: נעול מחוץ למכשיר Google Workspace / Microsoft 365 Email ו-MFA"| E{"האם עדיין יש לך גישת כניסה לרשם הדומיין החיצוני / מארח ה-DNS שלך (GoDaddy, Cloudflare, Namecheap, כביש 53)?"}
    E -->|"כן: אנחנו יכולים לערוך רשומות DNS TXT / MX"| F["השתמש ב-Google Workspace / Microsoft 365 הרשמי 'שחזור חשבון מנהל באמצעות רשומת DNS TXT' כדי להסיר את ה-MFA הישן ולקדם מנהל-על חדש תוך 1-24 שעות"]
    E -->|"לא: רשם הדומיין וה-DNS נעולים גם מאחורי ה-MFA של המנהל היחיד"| G["שלב 2: שלח את רשם ה-ICANN 'העברה של רושם / חבילת שחזור אנשי קשר ראשי ארגוני' (LOA נוטריוני + מאמרים + EIN + הוכחת שירות/חשבונית)"]
    F --> H["לאחר שחזור הדוא'ל וה-DNS: אפס חשבונות AWS Root, GitHub, Stripe, Slack ו-SaaS באמצעות דואר אלקטרוני + DNS + אימות חיוב תמיכה"]
    G --> H
    H --> I{"האם חומרה YubiKeys או Authenticator App MFA עדיין חוסמים את AWS Root או Bank Treasury?"}
    I -->|"AWS / Cloud Root MFA חסום"| J["שלח בקשת תמיכה לביטול MFA Root AWS + תצהיר תאגידי נוטריוני (או ענה לשיחה אוטומטית למספר טלפון Root)"]
    I -->|"בנק מסחרי / פנקס שכר נעול"| K["היכנס לסניף בנק מסחרי עם החלטה תאגידית הסרת חותם ישן + תקנון + הוכחת מוות/אי כושר/סיום"]

שלב 1: שימור "חפצי זהב" מקומיים בתחנת העבודה של המנהל (דקות 1 עד 30)¶

לפני שמתקשרים לדלפקי תמיכה של ספקים שיכולים להימשך 24 עד 72 שעות כדי לבדוק את הניירת הנוטריונית, מגיב מנוסה לאירועים בודק תמיד את תחנת העבודה הפיזית או הווירטואלית המשמשת את המנהל הנעדר. בלמעלה מ-60% ממקרי החירום של "Bus Factor 1", המפתחות לממלכה כבר יושבים פתוחים על המחשב הנייד או השולחן המשרדי של החברה:

1. חיפוש פיזי בשולחן עבודה, כספת וארון שרתים:
2. בדוק את הכספת המשרדית, מגירת השולחן הנעולה וקלסר התיעוד של מתלה השרת עבור:
   • מפתח אבטחת חומרה לגיבוי (YubiKey), מכיוון שמנהלי שיטות עבודה מומלצות רושמים שני YubiKeys ומשאירים את מפתח הגיבוי בכספת משרדית או מוקלטת בתוך ארון השרתים.
   • קודי גיבוי/גיבוי של MFA מודפסים בני 8 ספרות או 10 ספרות עבור Google Workspace, Microsoft 365, GitHub, AWS או 1Password.
3. חילוץ הפעלות ואסימונים פעילים מהמחשב הנייד של החברה של מנהל המערכת (ללא אתחול מחדש):
4. אם המחשב הנייד ער ולא נעול (או אם חשבון מנהל מקומי אחר או ניהול מכשירים ניידים [MDM] כלי כמו Jamf, Kandji או Microsoft Intune יכולים לאפס את סיסמת הכניסה המקומית של macOS/Windows ללא אובדן מפתח FileVault/BitLocker):
   • בדוק את פתיחת כרטיסיות הדפדפן והרחבות מנהל הסיסמאות: אם 1Password, Bitwarden, LastPass או Dashlane לא נעולים בדפדפן או אם קובץ Cookie פעיל פתוח ל-Google Admin Console (admin.google.com), Microsoft Entra (entra.microsoft.com), או AWS IAM, צור מיד משתמש Super Admin / IAM Administrator שני עם מכשיר MFA חדש משלו.
   • חפש במקומון Downloads ו Documents תיקיות לקובצי טקסט לשחזור: חפש בכונן הקשיח עבור קבצים תואמים *backup*, *recovery*, *codes*.txt, *aws*.csv, *root*, או *cloudflare*. כאשר מנהלי מערכת מפעילים MFA לראשונה ב-Google, GitHub, Cloudflare או Slack, הדפדפן מוריד אוטומטית קובץ טקסט רגיל (כגון Backup-codes-admin.txt או rootkey.csv) ישר לתוך Downloads תיקייה.
   • בדוק את אישורי CLI של מפתח מקומי (.aws, .ssh, .config/gcloud, .kube/config): גם כאשר קונסולת האינטרנט דורשת אפליקציית YubiKey או Authenticator בטלפון של המנהל, כמעט תמיד במחשב הנייד של מהנדס DevOps יש לא פג תוקפו AWS_ACCESS_KEY_ID ו AWS_SECRET_ACCESS_KEY עם AdministratorAccess מאוחסן ב .aws/credentials (או פעיל gcloud / az אסימון CLI). מהמסוף באותו מחשב נייד, מפתח יכול להריץ פקודה אחת (aws iam create-user ו aws iam attach-user-policy --policy-arn arn:aws:iam::aws:policy/AdministratorAccess) כדי ליצור התחברות חדשה לגמרי של מנהל מערכת תוך 10 שניות, תוך עקיפת מוחלטת של מסוף האינטרנט השורש הנעול.

=======================================================================
   THE "DEPENDENCY PYRAMID" OF CORPORATE ACCOUNT RECOVERY
=======================================================================

             [ TIER 1: CORPORATE TELECOM LINE (SIM/eSIM) ]
             (Reassign corporate cell number to new phone
              to intercept SMS / Voice MFA verification)
                                  |
                                  v
            [ TIER 2: DOMAIN REGISTRAR & DNS ZONE CONTROL ]
            (Proves legal ownership of company.com via DNS
             TXT verification records for all cloud vendors)
                                  |
                                  v
          [ TIER 3: CORPORATE EMAIL (GOOGLE / MICROSOFT 365) ]
          (Promote new Super Admin -> Reset or shadow-route
           the absent admin's email inbox to receive links)
                                  |
                                  v
       [ TIER 4: CLOUD INFRASTRUCTURE (AWS / AZURE / GCP / SaaS) ]
       (Receive password reset link in recovered email + answer
        automated voice call on recovered telecom number + LOA)
=======================================================================

שלב 2: שחזור מספר טלפון MFA של מנהל המערכת באמצעות ביטול טלקום ארגוני¶

אם המנהל הנעדר השתמש בהודעות טקסט או שיחות קוליות אוטומטיות כשיטת ה-MFA העיקרית או הגיבוי שלהם (או אם שחזור חשבון שורש של AWS מצריך מענה לשיחת טלפון אימות אוטומטי למספר הטלפון המופיע בקובץ), הדרך המהירה ביותר שלך להתאוששות מלאה היא השתלטות על מספר הטלפון הזה:

תרחיש א': מספר הטלפון נמצא בחשבון אלחוטי תאגידי (AT&T Business, Verizon Business, T-Mobile for Business)¶

• אם החברה משלמת את חשבון הספק החודשי בחשבון עסקי, מספר הטלפון הוא רכוש תאגידי, גם אם האייפון הפיזי נעול כעת בתיק רכוש של בית החולים, ארונית ראיות משטרתית או בביתו של עובד שנפטר.
• צור קשר עם מנהל החשבון העסקי של הספק שלך או בקר בחנות תאגידית עם מזהה מס תאגידי שלך (EIN), תקנון התאגדות ומזהה תמונה.
• בקש החלפת SIM / eSIM מיידית (החלפת מכשיר) העברת מספר הטלפון הזה (XXX-XXX-XXXX) לסמארטפון רזרבי של החברה במשרד שלך. תוך 10 דקות, כל קוד MFA SMS ושיחת טלפון אימות אוטומטי של AWS/בנק מצלצל ישירות בטלפון שבידך.

תרחיש ב': המנהל השתמש במספר טלפון סלולרי אישי (מאושפז, נפטר או נעצר)¶

• אם העובד מאושפז או נעצר (ומשתף פעולה): בקשו מבן הזוג, בן משפחתו או סנגורו של העובד להעביר קוד MFA בן 6 ספרות במהלך ביקור בבית חולים, או לקבל אישור חתום של העובד להחליף זמנית את כרטיס ה-SIM שלו או לקרוא את קוד ההתאוששות כדי שהחברה תוכל להמשיך לפעול (במיוחד אם תועלתו של העובד תלויה בהמשך המשכורת, בשכר או בעסקים רפואיים).
• אם העובד נפטר: להמוציא לפועל/הנציג האישי של עזבונו של העובד (או קרובי משפחתו המציגים תעודת פטירה רשמית בחנות מוביל) יש סמכות חוקית על פי חוק הגישה האחידה המחודשת לנכסים דיגיטליים (Revised Uniform Fiduciary Assets Act)RUFADAA) ומדיניות טלקום כדי לגשת או לנייד את הקו, או לחתום על הסכמה של עמוד אחד המאפשרת ליועץ ה-IT של החברה לקבל שיחת אימות חד פעמית של MFA בנוחות המשפחה.

שלב 3: פרוטוקולי שחזור נעילה רשמיים של ספק לפי ספק ארגוני¶

כאשר אין לך מכשיר MFA של מנהל המערכת או הפעלה פעילה של מחשב נייד, עקוב אחר פרוטוקול השחזור הרשמי המדויק עבור כל פלטפורמת ליבה:

Deep Dive 1: Recovering Google Workspace (admin.google.com) באמצעות אימות DNS TXT¶

Google Workspace כולל פתח מילוט חירום אוטומטי מובנה במיוחד עבור כאשר מנהל העל היחיד אינו מסוגל או מאבד את מפתח ה-MFA שלו: 1. עבור אל admin.google.com, הקלד את כתובת הדוא"ל של מנהל העל ולחץ על שכחת סיסמה? (או עברו על אתגר ההתחברות ובחרו נסה דרך אחרת עד ש-Google תפעיל את אשף אימות הבעלות על הדומיין). 2. אם שחזור אוטומטי אינו מבקש מיד DNS, עבור אל טופס שחזור סביבת העבודה של גוגל ** (toolbox.googleapps.com/apps/recovery/form)**. 3. Google תספק מחרוזת אימות ייחודית (כגון google-site-verification=XXXX או ייחודי CNAME אסימון) ומבקשים ממך לספק כתובת אימייל משנית ליצירת קשר בדומיין אחר (כגון דומיין Gmail אישי או שותף שאתה יכול לקרוא עכשיו). 4. היכנס לספק ה-DNS שלך, הוסף את זה בדיוק TXT או CNAME רשום לקובץ האזור של הדומיין שלך ושלח. לאחר שהסורקים של Google מאמתים את רשומת ה-DNS (ומאמתים את תיעוד הדומיין/חיוב אם נאכף אימות דו-שלבי עם מפתחות חומרה), Google מסיר את ה-MFA הישן או מקדמת את המשתמש המיועד שלך ל-Super Admin.

Deep Dive 2: שחזור Microsoft 365 / Azure (Entra ID) באמצעות צוות הגנת הנתונים של Microsoft¶

בניגוד לגוגל, מיקרוסופט אינה מאפשרת למשתמש לא מאומת לקדם את עצמו ל-מנהל עולמי אך ורק באמצעות אשף אינטרנט ללא סיוע אם ה-MFA היחיד של המנהל הגלובלי אבד. 1. התקשר ישירות בטלפון לתמיכה העסקית של מיקרוסופט (בארה"ב: 1-800-865-9408 או קו התמיכה המסחרית של Microsoft 365 האזורי שלך) וציין בבירור להודעה הקולית ולסוכן: "יש לנו נעילת דיירים מלאה בחומרה: המנהל הגלובלי היחיד שלנו הוא [נפטר / מאושפז / אינו נמצא עוד בחברה] ואנו זקוקים להסלמה לצוות הגנת הנתונים של Microsoft." 2. צוות הגנת הנתונים של מיקרוסופט היא הקבוצה היחידה בתוך מיקרוסופט המוסמכת להסיר את ה-MFA או לאפס מנהל עולמי יחיד כאשר אין מנהל עולמי אחר בדייר. 3. מהנדס הגנת הנתונים יפתח תיק אימות, יבקש ממך להוסיף ** ספציפיDNS TXT רשום** לאזור הדומיין שלך כדי להוכיח שליטה משפטית בדומיין הדייר, ואמת את תקנון ההתאגדות, חשבוניות החיוב הארגוניות וזהות המנהל שלך לפני איפוס האישורים של המנהל הגלובלי.

Deep Dive 3: שחזור חשבון שורש AWS כאשר מכשיר ה-MFA אבד או לא זמין¶

1. נתיב א' (שחזרת את תיבת הדואר הנכנס של הבסיס ואת מספר הטלפון של איש הקשר הבסיסי):
2. AWS מאפשרת הסרה בשירות עצמי של מכשיר Root MFA שאבד אם אתה שולט ב-גם בכתובת הדוא"ל של ה-Root וגם במספר הטלפון של איש הקשר של ה-Root.
3. היכנס עם הדוא"ל והסיסמה של השורש (או אפס תחילה את סיסמת השורש באמצעות דוא"ל). בהודעת ה-MFA, לחץ על פתור בעיות ב-MFA -> היכנס באמצעות גורמים חלופיים של אימות. AWS תשלח דוא"ל אימות לכתובת ה-Root ותבצע שיחת טלפון אוטומטית למספר הטלפון של ה-Root המופיע בקובץ; הזנת קוד לוח המקשים עוקפת מיד את מכשיר ה-MFA שאבד, כך שתוכל לבטל אותו בקונסולת AWS.
4. נתיב ב' (מספר הטלפון הבסיסי אינו נגיש או בבעלות המנהל הנעדר):
5. לחץ על צור קשר עם התמיכה של AWS כדי לבטל את מכשיר ה-MFA, בחר שלא תוכל לקבל את שיחת הטלפון ובקש שיחה מנציג תמיכה בחשבון וחיובים של AWS למספר הארגוני החדש שלך.
6. עבור חשבונות בעלי אבטחה גבוהה או בעלות תאגידית במחלוקת, AWS תספק תצהיר זהות נוטריונית ואישור תאגיד שעליו להיות חתום על ידי פקיד תאגיד בפני נוטריון מורשה ולהעלות לצד תעודת מזכיר המדינה על מצב תקין ודוחות החיוב של AWS.

תבנית: מכתב אישור תאגידי נוטריוני (LOA) לשחזור חשבון חירום¶

הדפיסו את התבנית המדויקת הזו על נייר מכתבים רשמי של החברה, חתמו עליה בפני נוטריון ציבורי מורשה (או עורך דין/ממונה על שבועות מחוץ לארה"ב), וצרפו את חמשת התערוכות התומכות בכל פעם שמגישים כרטיס נעילת חירום לספק ענן, ספק טלקום או רשם דומיינים:

=======================================================================
   NOTARIZED CORPORATE LETTER OF AUTHORIZATION (EMERGENCY RECOVERY)
=======================================================================
[ON OFFICIAL COMPANY LETTERHEAD: Legal Name, Address, Phone, Website]

Date: [Date]
To:   Trust, Safety & Account Recovery Legal Escalations Team
      [Vendor Name, e.g., Amazon Web Services / Cloudflare / GoDaddy]
Re:   EMERGENCY CORPORATE ACCOUNT RECOVERY & ADMIN REASSIGNMENT
      Account / Tenant ID / Domain Name: [Account ID or Domain]
      Prior Unavailable Administrator: [Name & Email of Absent Admin]

To Whom It May Concern:

I, [Your Full Legal Name], hereby certify and affirm under penalty of
perjury that I am the duly appointed [Title: Chief Executive Officer /
President / Managing Member] of [Full Legal Name of Company], a
[State/Country] [Corporation / Limited Liability Company] (Entity ID:
#[Secretary of State Number]; Federal Tax ID / EIN: #[XX-XXXXXXX]).

Our company's sole technical administrator on the above-referenced
account, [Name of Absent Admin], is permanently/currently unavailable
due to [sudden death on (Date) / acute medical incapacitation in ICU /
arrest and termination of employment on (Date)], leaving the company
without access to its Multi-Factor Authentication (MFA) device and
administrative login credentials.

As an authorized corporate officer empowered to bind [Company Name], I
formally request and authorize [Vendor Name] to:
  1. Revoke all administrative sessions and MFA devices associated
     with [Absent Admin's Email/Phone]; and
  2. Reassign Primary Account Owner / Super Administrator access to:
     - New Administrator Name:  [Full Name]
     - Corporate Email Address: [Email]
     - Verified Direct Phone:   [Phone Number]

Attached hereto as proof of corporate ownership and authority are:
  Exhibit A: Certified Articles of Incorporation & Good Standing Cert.
  Exhibit B: Official IRS Form CP 575 EIN Confirmation Letter
  Exhibit C: Last 3 Monthly [Vendor] Invoices & Redacted Bank Statements
  Exhibit D: Color Government Passport/ID of Signing Corporate Officer
  Exhibit E: [Death Certificate / Hospital Letter / Termination Notice]

Executed this ___ day of __________, 2026.

________________________________________
[Your Signature], [Title]

[NOTARY PUBLIC JURAT / SEAL & COMMISSION EXPIRATION BELOW]
=======================================================================

מספרי חירום אזוריים ופרוטוקולי סוכנות¶

• ארה"ב: התקשר ל-911 לכל מקרה חירום רפואי באתר או אם מנהל שפוטר מאיים פיזי. אם מנהל נוכל או שנעצר מסרב למסור אישורים תאגידיים או מחבל במערכות, דווח על חדירת המחשב מיד ל-FBI Internet Crime Complaint Center (IC3) בכתובת ic3.gov וב-כוח המשימה הסייבר של משרד השדה של ה-FBI המקומי שלך (בציטוט של Computer Fraud and Abuse Act, 18 U.S.C. § 1030), והתייעצו עם היועץ המשפטי של החברה להגשת חירום צו מניעה זמני (TRO) וצו חובה המכריע תחלופה של מפתחות תאגידים תחת איום של בוז אזרחי. עבור נאמנים שנפטרו, מנהלי עיזבון פועלים על פי חוק המתוקן של חוק הגישה האחידה האחידה לנכסים דיגיטליים של המדינה (RUFADAA).
• בריטניה: התקשר ל-999 למקרי חירום רפואיים או פיזיים, או ל-101 עבור דיווח משטרתי ללא חירום. שמירה בלתי מורשית או חבלה של מערכות IT ארגוניות על ידי עובד נוכל ניתנת לתביעה לפי Computer Misuse Act 1990 (סעיפים 1 עד 3); דווח על תקריות ל-** Action Fraud (0300 123 2040)** והמרכז הלאומי לאבטחת סייבר (NCSC), ואמת את סמכות נושא המשרה בתאגיד באמצעות בית החברות.
• קנדה: התקשר ל-911 למקרי חירום. דווח על חבלה פלילית או סחיטה על ידי מנהל IT לשעבר למשטרה המקומית ול-המרכז הקנדי לאבטחת סייבר (1-833-CYBER-88) לפי סעיף 342.1 (שימוש לא מורשה במחשב) וסעיף 430(1.1) (עוול ביחס לנתוני מחשב) של הקוד הפלילי של קנדה.
• האיחוד האירופי: התקשר ל-112 למקרי חירום. שימו לב כי על פי תקנת הגנת המידע הכללית של האיחוד האירופי (GDPR) וחוקי פרטיות עובדים לאומיים (כגון BDSG של גרמניה וחוקי CNIL של צרפת), מעסיקים המשחזרים את תיבת הדוא"ל הארגונית של עובד שנפטר או מאושפז חייבים להימנע מפתיחת הודעות המסומנות בבירור "פרטי / אישי" אלא אם כן מתנהלות תחת פיקוח מתועד על ציות משפטי/משאב.
• אוסטרליה וניו זילנד: התקשר ל-000 (אוסטרליה) או 111 (ניו זילנד) למקרי חירום. דווח על סחיטת סייבר או גישה לא מורשית ל-ReportCyber (cyber.gov.au / 1300 CYBER1) או CERT NZ, והשתמש ב-ASIC Company Extract או NZ Companies Office Extract כהוכחה לסמכות דירקטור עבור כתבי הרשאה של ספק. ראה את המדריך המלא שלנו בכתובת מספרי חירום.

שאלות נפוצות¶

מדוע אסור לנו לבטל את כרטיס האשראי הארגוני שנרשם ב-AWS, Azure או GoDaddy בזמן שאנו נעולים מחוץ לחשבון המנהל שנפטר?¶

אם תבטל או תקפיא את כרטיס האשראי הארגוני שמשלם עבור תשתית הענן או רשם הדומיינים שלך בזמן שלאיש אין גישת כניסה כדי להזין אמצעי תשלום חלופי, סקריפטים של חיוב אוטומטיים ישעו את חשבונך כאשר החשבונית החודשית נכשלת וינקו לצמיתות את השרתים הווירטואליים של הייצור, מסדי הנתונים ורישום הדומיינים שלך לאחר תקופת החסד. שמור תמיד את כרטיס החיוב ממומן ופעיל, מכיוון ש-3 דפי כרטיס האשראי האחרונים בתשלום הם ההוכחה העיקרית לבעלות שצוותי התמיכה של ספקי דורשים כדי להעניק לך שחזור מנהלי.

כיצד נוכל לעקוף SMS או שיחה קולית אימות רב-גורמי (MFA) אם המנהל נמצא בתרדמת בטיפול נמרץ או נפטר?¶

אם מספר הטלפון הנייד של מנהל המערכת מחויב תחת חשבון אלחוטי תאגידי (כגון AT&T Business, Verizon Business, או T-Mobile for Business), מנהל תאגיד יכול להציג את ה-EIN ואת תקנון החברה לספק הטלקום ולהחליף מיד את מספר הטלפון הזה ל-SIM חדש או eSIM במכשיר של החברה. בתוך דקות, כל קודי ה-SMS MFA ושיחות האימות האוטומטיות של AWS/Microsoft יגיעו לטלפון החלופי מבלי להפריע למכשיר האישי של העובד.

כיצד נחזיר גישה ל-Google Workspace או ל-Microsoft 365 אם היה רק ​​מנהל-על או מנהל עולמי אחד?¶

גם Google Workspace וגם Microsoft 365 משתמשות באימות DNS ציבורי כהוכחה אולטימטיבית לבעלות ארגונית. על ידי כניסה לרשם הדומיינים או מארח ה-DNS שלך והוספת רשומת אימות ייחודית של TXT או CNAME שהונפקה על ידי אשף שחזור חשבון הניהול של Google או צוות הגנת הנתונים של מיקרוסופט (לצד רישום ארגוני והוכחת חיוב), הספק יבטל את ה-MFA של מנהל המערכת הבלתי זמין ויקדם משתמש חדש בחברה שלך לסופר אדמין או למנהל עולמי.

האם נוכל לשחזר את הסיסמאות בתוך כספת 1Password או Bitwarden של עובד שנפטר אם לא הגדרנו מנהל שני?¶

אם העובד השתמש בחשבון צרכן בודד או בכספת אישית ללא ערכת חירום מודפסת (מפתח סודי + סיסמא ראשי) וללא שחזור חשבון מנהל ארגוני מופעל מראש, הצפנת אפס ידע הופכת את זה לבלתי אפשרי מבחינה מתמטית עבור תמיכת 1Password או Bitwarden לפענח את הכספת אפילו עם צו בית משפט או תעודת פטירה. במקום לנסות לפצח את מנהל הסיסמאות, עוקף אותו על ידי שחזור רשם ה-DNS ומערכת הדוא"ל הארגונית שלך תחילה, ולאחר מכן השתמש בתזרימי איפוס סיסמה בדוא"ל ובכתבי הרשאה נוטריוניים כדי לאפס ישירות כל חשבון ספק בסיסי.

האם זה חוקי לנחש את קוד הגישה באייפון האישי של עובד מאושפז או נפטר כדי לקבל קוד MFA של החברה?¶

לא: גישה לסמארטפון או חשבון דוא"ל אישי בבעלותו האישית של עובד ללא הסכמתו המפורשת, או ללא הרשאה פורמלית של מנהל העיזבון או ייפוי כוח הבריאות שמונה על ידי בית המשפט, מפרה את חוקי הפרטיות של המחשב, כגון חוק הונאה והתעללות במחשבים בארה"ב (CFAA) וחוק תקשורת מאוחסנת. פעל תמיד באמצעות ציוד בבעלות תאגיד, ערוצי שחזור של ספקים ארגוניים, או הסכמה בכתב מהעובד או הנציג המשפטי שלו.

אילו מסמכים צריכים להיכלל במכתב אישור תאגידי נוטריוני (LOA) לשחזור ענן ודומיין?¶

כל ספק ענן גדול, רשם דומיינים ומוסד פיננסי מצפה לחמישה פריטי ליבה המצורפים למכתב הרשאה נוטריוני על נייר מכתבים של החברה: (1) תקנון/ארגון מאושרים ותעודת מזכיר המדינה הנוכחית על מעמד תקין הנותן שם את פקיד החתימה, (2) ה-IRS CP 575 EIN של החברה, מכתב אישור בנקאי אדום ב-3 או 3 חודשים אחרונים. תדפיסי כרטיסי אשראי המוכיחים שהחברה שלך שילמה אותם, (4) סריקה צבעונית של הדרכון או רישיון הנהיגה של קצין החתימה, ו- (5) הוכחה לאי-זמינות של המנהל הקודם (כגון תעודת פטירה, מכתב בית חולים או רישום סיום עבודה).

מדריכים קשורים¶

• מוות של איש מפתח, אובדן כושר מייסד ורצף עסקי חירום
• פיטורי עובדים ואבטחת מקום העבודה
• רשם הדומיינים או חשבון הענן של AWS הושעו עקב כשל בחיוב או דגל שימוש לרעה: הפסקת ייצור
• מחלוקת על שותפות, ניקוז בנק של מייסד שותף ונעילה של חברות
• תוכנית המשכיות עסקית והתאוששות מאסון

מקורות והדרכה רשמית¶

• שירותי האינטרנט של Amazon (AWS, Inc.): תיעוד ניהול זהות וגישה של AWS (IAM): שחזור חשבון AWS כאשר התקן ה-MFA של משתמש הבסיס אבד, פגום או לא זמין, והליכי אימות זהות נוטריוניים.
• עזרה למנהלי Google Cloud / Google Workspace: שחזור גישת מנהל ל-Google Workspace באמצעות אימות DNS אוטומטי של דומיין TXT/CNAME ושחזור סופר אדמין בסיוע תמיכה.
• Microsoft Corporation (Microsoft Entra / Microsoft 365): נהלי נעילת דיירים של Microsoft Data Protection Team ושיטות עבודה מומלצות לניהול גישת חירום ("Break-Glass") חשבונות ענן ב-Microsoft Entra ID.
• Internet Corporation for Assigned Names and Numbers (ICANN): מדיניות יישוב מחלוקות בהעברת רשם ותקני אימות שחזור רושם עבור מחזיקי דומיין ארגוניים.
• Uniform Law Commission (ULC, ארצות הברית): Revised Uniform Fiduciary Access to Digital Assets Act (RUFADAA) וכללי אפוטרופסות של נכסים דיגיטליים לעומת נכסים דיגיטליים.