【完全版】HubSpotのセキュリティは大丈夫？標準搭載からユーザー設定必要な機能まで解説

なぜセキュリティ対策が重要なのか？

情報資産がビジネスの基盤となっているため

現代の企業活動は、顧客データや営業情報、製品開発の知見など、膨大な「情報資産」を保有しています。
特にHubSpotのようなCRMやマーケティングオートメーションツールは、そうした情報資産を一元管理し、事業の成長に直結する存在です。
したがって、その情報を守ることは、単なるIT部門の課題ではなく、経営そのもののリスク管理といえます。

万が一の情報漏洩による損害や信頼失墜の可能性を防ぐため

万が一、データ漏洩が発生した場合、企業は以下のような深刻な損害を被る可能性があります。

・金銭的損害
損害賠償請求、訴訟費用、セキュリティ対策費用、復旧費用など

・信用の失墜
顧客からの信頼を失い、ブランドイメージが著しく低下
既存顧客の離反や新規顧客獲得の困難化につながる可能性あり

・法的・規制上の問題
GDPR（一般データ保護規則）や日本の個人情報保護法など、データプライバシーに関する規制違反による罰金や行政処分を受ける可能性あり

・事業活動への影響
漏洩対応に追われ、本来の事業活動が停滞する可能性あり

特に顧客接点に直結するCRMツールは、これらのリスクを直接的に抱えているため、堅牢なセキュリティを搭載しているシステムだと安心ですよね。

HubSpotが掲げるセキュリティとガバナンスの方針

HubSpotは、先述したリスクを十分に認識しており、「信頼」を最優先に掲げています。
公式ウェブサイトでも、セキュリティとプライバシー保護へのコミットメントを明確に打ち出しており、以下の原則に基づいています。

・設計段階からのセキュリティ
製品開発の初期段階からセキュリティを考慮した設計を行っています。

・透明性
セキュリティ対策やインシデント対応に関する情報を公開し、透明性を確保しています。

・継続的な改善
脅威の変化に対応するため、セキュリティ対策を継続的に改善しています。

・法規制の遵守
各国のデータプライバシー規制に準拠し、ユーザーのプライバシー保護を徹底しています。

HubSpotは、これらの指針に基づき、多層的なセキュリティ対策を講じることで、ユーザーが安心してプラットフォームを利用できる環境を提供しています。

参考：
HubSpot｜セキュリティ・プライバシー・管理・統制
HubSpotの信頼性

HubSpotに搭載されているセキュリティ機能一覧

HubSpotのセキュリティ機能は、多岐にわたります。
ここでは、主なセキュリティ機能を一覧表にまとめてご紹介します。

▼【標準搭載】HubSpotのセキュリティ機能

【標準搭載】HubSpotのセキュリティ機能
セキュリティ領域	機能名	概要
通信・データ保護	SSL証明書の適用	Web通信をHTTPSで暗号化
	ファイアーウォール（FW）／WAF	不正アクセスや攻撃からWebアプリを防御
	侵入検知システム（IDS）	不審なアクセスを検知
	データ暗号化	TLS1.2/1.3および2048ビット鍵による暗号化
インフラ・冗長性	クラウドホスティング	AWS／Google Cloudを利用した高可用性インフラ
	データ複製・自動バックアップ	3拠点でのデータ複製＋30日間のバックアップ保持
運用管理	稼働監視・アラート通知	障害や異常を自動検知・通知
	ソフトウェアの定期更新	セキュリティパッチなどの自動適用
	構成管理	セキュリティ維持のための設定管理

▼【ユーザー側で設定】HubSpotで操作が必要なセキュリティ機能

【ユーザー側で設定】HubSpotで操作が必要なセキュリティ機能
セキュリティ領域	機能名	概要
アクセス制御・認証	2要素認証（2FA）	パスワード＋確認コードでログイン強化
	シングルサインオン（SSO）	外部IdPとの統合による一元認証
	IPアドレス制限	アクセス元IPを制限し、不正ログイン防止
権限・コンテンツ管理	ユーザー権限管理	ロールやプロパティ単位でアクセス制御
	チーム分け・パーティション化	ユーザーグループごとにデータの閲覧範囲を制限
	ページのパスワード保護	特定ページにパスワードを設定可能
	ログイン要求設定	ページ単位でログインを必須化
	ドメインセキュリティ設定	コンテンツ公開ドメインに対する制御設定
健全性管理・認証	セキュリティヘルスチェック	セキュリティ設定の網羅性を可視化
	Eメール認証（SPF/DKIM/DMARC）	メールのなりすまし防止認証設定
プライバシー対応	GDPR準拠の削除機能	EU規則に従った個人情報の削除処理
	法的根拠に基づく処理追跡	データ処理の根拠記録と対応の可視化
	Cookie同意管理	ウェブサイト訪問者のCookie同意管理機能

▼【標準搭載】HubSpotの監査・認証・コンプライアンス対応

【標準搭載】HubSpotの監査・認証・コンプライアンス対応
セキュリティ領域	機能名	概要
セキュリティ領域 機能名 概要 監査・監視体制	監査ログ	アクティビティログによるユーザー操作の記録
	脆弱性スキャン／ペネトレーションテスト	外部攻撃耐性のテストと改善
	DDoS対策	大量アクセス攻撃への耐性強化
インシデント対応	セキュリティインシデント対応	発生時の報告・対応プロトコル整備
法令対応	SOX法遵守	サーベンス・オクスリー法への準拠
第三者認証	SOC2／SOC3認証	セキュリティ・可用性・機密保持などの認証取得

▼【企業独自で導入が必要】HubSpot外でのセキュリティ対策

【企業独自で導入が必要】HubSpot外でのセキュリティ対策
セキュリティ領域	機能名	概要
ソフトウェア対策	ウイルス対策ソフト	エンドポイント防御用のウイルス対策
	VPN	通信経路の暗号化による保護
	EDR・マルウェア監視	高度な検知・レスポンスシステムの導入
組織的対策	社員セキュリティ教育	社内での情報リテラシー向上
	ポリシー管理	情報セキュリティポリシーの策定・周知
	リスク管理	ERMなどによるリスク評価と対応策整備
	ベンダー管理	委託先のセキュリティ体制を審査・管理
物理的対策	物理的セキュリティ	入退室管理・監視カメラなど
	コーポレートネットワーク保護	社内LANやゲートウェイの保護

▼【非準拠】HubSpotのセンシティブデータ取り扱いについて

【非準拠】HubSpotのセンシティブデータ取り扱いについて
セキュリティ領域	概要
PCI DSS／HIPAAは非準拠	医療業界や決済業界における特定のセキュリティ要件を満たしていない（別途対策が必要）

センシティブデータとは、特別な保護が必要な機密性の高い個人情報です。
HubSpotに保存可能なセンシティブデータの例としては、以下のようなものが挙げられます。

▼一般的なセンシティブデータの例
・デモグラフィックデータ（民族、性別、年齢など）
・国籍、市民権、在留資格・政府機関発行の一部の本人確認情報
・金融機関口座番号の下4桁
・給与データ
・健康に関するデータ（HIPAAが適用される保護対象保健情報を含む）

▼留意事項
上記のセンシティブデータはHubSpotに保存可能とされていますが、HubSpot自体がPCI DSSやHIPAAに非準拠であるため、医療や決済業界でこれらのデータを取り扱う際には、業界特有の規制要件を満たすための追加措置が不可欠です。

ただし、HubSpotの設定画面で、このセンシティブデータを保護する設定を手動で行うことも可能なため、以前よりも様々な企業様にも利用いただきやすくなっています。

▼設定手順
[設定] > [プライバシーと同意] > [プライバシーツール] > [センシティブデータの設定を行う] をクリック

【標準搭載】HubSpotのセキュリティ機能

HubSpotは、初期状態で非常に堅牢なセキュリティ機能を備えています。
以下の機能は、ユーザーが特に設定することなく、HubSpotを利用するだけで享受できるものです。

通信・データ保護

標準SSL証明書の適用
HubSpotを利用して作成されたすべてのウェブサイトやランディングページ、フォームは、SSL証明書が標準で適用されています。
これにより、ブラウザとHubSpotサーバー間の通信が暗号化され、データの盗聴や改ざんを防ぎます。
URLが「https://」で始まることで、安全性が保証されます。
参照：HubSpot｜無料のSSL認証

ファイアーウォール（FW）とWebアプリケーションファイアーウォール（WAF）の有効化
HubSpotのシステムは、不正なネットワークアクセスを遮断するファイアーウォールと、Webアプリケーション層への攻撃（SQLインジェクション、クロスサイトスクリプティングなど）を防ぐWAFによって保護されています。
これにより、外部からの悪意のある攻撃からシステムとデータを守ります。
参照：HubSpot無料のWAF（ウェブアプリケーションファイアーウォール）

侵入検知システム（IDS）の導入
システムへの不正な侵入や異常な活動をリアルタイムで検知するIDSを導入しています。
これにより、潜在的な脅威を早期に発見し、対応することが可能です。

データの暗号化（TLS 1.2／1.3、2048bit鍵）
HubSpotで保存されるデータは、高度な暗号化技術によって保護されています。
データ転送時にはTLS 1.2または1.3といった最新のプロトコルが使用され、2048bit以上の鍵長で暗号化されます。
これにより、データが傍受された場合でも、内容が解読されることを防ぎます。
参照：HubSpotナレッジベース｜データ暗号化

インフラと冗長性

クラウドインフラを利用したホスティング（AWS／Google Cloud）
HubSpotは、世界的に信頼性の高いAWS（Amazon Web Services）やGoogle Cloud Platformといったクラウドインフラを利用してサービスをホスティングしています。これらのプラットフォームは、物理的セキュリティ、ネットワークセキュリティ、可用性において最高水準の対策を講じています。
参照：
無料のウェブホスティング
HubSpotのデータセンター
HubSpotナレッジベース

データ複製と自動バックアップ（3データセンター・30日間保持）
HubSpotのデータは、万が一の障害に備えて複数のデータセンターに自動で複製されています。
通常、最低3つのデータセンターにデータが分散配置され、過去30日間のデータがバックアップとして保持されます。
これにより、特定のデータセンターに障害が発生しても、迅速な復旧とデータ損失の最小化が可能です。
参照：
HubSpotナレッジベース
HubSpotの信頼性

運用管理

稼働状況の監視とアラート通知
HubSpotのシステムは、24時間365日体制で稼働状況が監視されています。
異常が検知された場合には、担当チームに即座にアラートが通知され、迅速な対応が行われます。
参照：HubSpotセキュリティ概要

ソフトウェアの定期更新
システムのセキュリティを最新の状態に保つため、使用しているソフトウェアやライブラリは定期的に更新されます。
これにより、既知の脆弱性が悪用されるリスクを低減します。
参照：HubSpot

構成管理によるセキュリティ維持
システムの構成は厳密に管理されており、セキュリティポリシーに違反する変更がないか常にチェックされます。
これにより、誤った設定によるセキュリティリスクを防ぎ、一貫したセキュリティレベルを維持します。
参照：HubSpotセキュリティ概要

【ユーザー側で設定】HubSpotで操作が必要なセキュリティ機能

HubSpotが提供する標準機能に加え、ユーザー自身が能動的に設定・運用することで、さらにセキュリティを強化できる機能が多数あります。

これらの機能を適切に設定することは、データ保護において非常に重要です。

アクセス制御・認証

2要素認証（2FA）
ログイン時にパスワードだけでなく、スマートフォンアプリなどで生成される一時的なコードの入力も求める2要素認証（Two-Factor Authentication）は、不正ログイン対策の基本中の基本です。
HubSpotでは、全ユーザーに対して2FAの設定を強く推奨しています。
これにより、万が一パスワードが漏洩しても、アカウントへの不正アクセスを防ぐことができます。
参照：HubSpotナレッジベース｜HubSpotの2要素認証ログインを設定する

シングルサインオン（SSO）
大規模な組織では、複数のシステムで共通の認証情報を使用できるシングルサインオン（Single Sign-On）の導入が有効です。
HubSpotはSSOに対応しており、企業の既存のID管理システム（例：Okta, Azure ADなど）と連携することで、ユーザーの利便性を高めつつ、認証の一元管理によるセキュリティ強化が可能です。（SSOは通常、Enterpriseプランで利用できます。）
参照：HubSpotナレッジベース｜シングルサインオンの設定（SSO）

IPアドレスによるアクセス制限
特定のIPアドレス（例：会社のオフィスネットワークのIPアドレス）からのアクセスのみを許可するように設定することで、外部からの不正アクセスリスクを大幅に低減できます。
これは、社員が会社外からアクセスする必要がない場合に特に有効なセキュリティ対策です。（IPアドレス制限は通常、Professional / Enterpriseプランで利用できます。）
参照：HubSpotナレッジベース｜ログインおよびアカウントアクセス設定を管理

アクセス権限とコンテンツ管理

ユーザーの権限管理（項目単位の制限含む）
HubSpotでは、各ユーザーに対して役割に応じた詳細なアクセス権限を設定できます。
例えば、特定のユーザーには連絡先の閲覧のみを許可し、編集は禁止するといった設定が可能です。
さらに、CRMの項目単位でアクセス制限をかけることもでき、特定の機密情報へのアクセスを厳密に制御できます。これは、内部からの情報漏洩リスクを低減するために不可欠です。
参照：HubSpotナレッジベース｜HubSpotユーザー権限ガイド

チーム分け・パーティション化
組織内で複数のチームがある場合、HubSpotのチーム分け機能やパーティション化機能を活用することで、各チームのメンバーがアクセスできるコンテンツやデータを制限できます。これにより、部門間の情報壁を維持しつつ、それぞれのチームが効率的に作業できる環境を構築できます。
参照：HubSpotナレッジベース｜チームの作成と管理

ページのパスワード保護
特定のウェブページやランディングページに、パスワード保護を設定することで、一般公開したくない情報を限られたメンバーのみに共有できます（ユーザーを限定）。
セミナー資料や特定の顧客向けのコンテンツなどに有効です。
参照：HubSpotナレッジベース｜ページをパスワードで保護する

特定ページへのログイン要求
HubSpotでホスティングしている特定のウェブページに対し、HubSpotアカウントへのログインを要求する設定が可能です。
これにより、コンテンツへのアクセスをHubSpotユーザーに限定し、会員制サイトのような運用も実現できます。

ドメインセキュリティ設定
HubSpotで利用するドメイン（ウェブサイトドメイン、メール送信ドメインなど）に対して、セキュリティ設定を行うことで、ドメインの乗っ取りやなりすましを防ぎます。
参照：HubSpotナレッジベース｜HubSpotでのSSLとドメインセキュリティ

アカウント健全性・メール認証

セキュリティヘルスチェック
HubSpotのアカウントには、セキュリティ設定の健全性をチェックする機能が用意されています。
これにより、推奨されるセキュリティ設定が適用されているか、改善すべき点はないかなどを確認し、アカウント全体のセキュリティレベルを向上させることができます。
参照：HubSpotナレッジベース｜セキュリティ健全性

Eメール認証（SPF/DKIM/DMARC）
HubSpotから送信されるマーケティングメールや取引メールの信頼性を高めるために、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting & Conformance）といったメール認証の設定が重要です。
これらを適切に設定することで、送信元が正当であることを証明し、なりすましメールやフィッシング詐欺のリスクを低減し、メールの到達率を向上させます。
参照：HubSpotナレッジベース｜メール認証を管理する

プライバシー・GDPR対応

GDPRに準拠した削除機能
GDPRなどのデータプライバシー規制に対応するため、HubSpotはデータ主体からの削除要求に迅速に応じられる機能を提供しています。
ユーザーは、個人データの削除を要求された際に、HubSpot内からそのデータを適切に削除する手順を踏むことができます。
参照：HubSpot｜GDPR対策ガイド

法的根拠に基づく処理追跡
個人データを処理する際の法的根拠（同意、契約の履行など）をCRM内で記録・管理できます。
これにより、規制要件に準拠したデータ処理を行っていることを証明できます。
参照：HubSpotナレッジベース｜データを処理するための法的根拠を追跡する

Cookie同意管理
ウェブサイト訪問者に対して、Cookieの使用に関する同意を求めるバナーを簡単に設定できます。
訪問者はCookieの利用に同意するかどうかを選択でき、これによりプライバシー規制に準拠したウェブサイト運用が可能です。
参照：HubSpotナレッジベース｜Cookie管理ツールを使う

【標準搭載】HubSpotの監査・認証・コンプライアンス対応機能

HubSpotは、そのセキュリティ体制の信頼性を外部に証明するため、さまざまな監査・認証を受けており、法規制への準拠にも積極的に取り組んでいます。
これらの機能は、HubSpotが組織として備えているものです。

技術的な監査・監視体制

監査ログ（アクティビティログ）
HubSpotのアカウント内で発生する重要なアクション（例：ユーザーのログイン履歴、設定変更、データの編集・削除など）はすべて監査ログ（アクティビティログ）として詳細に記録されます。
これにより、誰がいつ何をしたのかを追跡し、不正な操作や意図しない変更を特定できます。
参照：HubSpot｜アクティビティログ

脆弱性スキャン・ペネトレーションテスト
HubSpotは、自社システムに対する定期的な脆弱性スキャンや、専門の第三者機関によるペネトレーションテスト（侵入テスト）を継続的に実施しています。
これにより、システムの潜在的な脆弱性を発見し、悪用される前に修正することで、常に高いセキュリティレベルを維持しています。
参照：
HubSpot｜セキュリティ・プライバシー・管理・統制
HubSpotセキュリティ概要

DDoS対策機能
大規模なDDoS（Distributed Denial of Service）攻撃からサービスを守るための対策が講じられています。
DDoS攻撃は、ウェブサイトやサービスに大量のアクセスを集中させることで、サービスを停止させることを目的とした攻撃です。
HubSpotはこれらの攻撃を検知し、自動的に緩和する機能を備えています。
参照：HubSpotセキュリティ概要

インシデント対応と運用管理

セキュリティインシデント対応プログラム
HubSpotは、万が一セキュリティインシデントが発生した場合に備え、明確なインシデント対応プログラムを確立しています。
このプログラムには、インシデントの検知、分析、封じ込め、根絶、復旧、事後検証といった一連のプロセスが含まれており、迅速かつ効果的な対応を可能にしています。
参照：HubSpotセキュリティ概要

サーベンス・オクスリー法（SOX）法遵守
HubSpotは、米国のサーベンス・オクスリー法（SOX法）の財務報告の正確性に関する要件に準拠しています。
これは、企業の内部統制の有効性を示すものであり、HubSpotの信頼性を高める要因の一つとなっています。
参照：HubSpotセキュリティ概要

第三者認証と準拠状況

SOC2/SOC3認証取得
HubSpotは、SOC2（Service Organization Controls 2）Type IIおよびSOC3認証を取得しています。SOC2認証は、クラウドサービスプロバイダーのセキュリティ、可用性、処理の完全性、機密性、プライバシーに関する管理体制を評価するものです。
Type IIは、一定期間にわたるコントロールの有効性を証明するものであり、HubSpotのセキュリティ対策が高い水準で運用されていることを示します。
SOC3は、一般公開可能な概要レポートです。
参照：HubSpot｜セキュリティ・プライバシー・管理・統制

【非準拠】HubSpotのセンシティブデータ取り扱い

PCI DSS／HIPAA には非準拠（医療・決済系は要注意）
HubSpotは、PCI DSS（Payment Card Industry Data Security Standard）およびHIPAA（Health Insurance Portability and Accountability Act）には直接準拠していません。

PCI DSSは、クレジットカード情報の保護に関する国際的なセキュリティ基準です。
HubSpotを決済処理に直接利用する場合（例：HubSpot Payments以外でクレジットカード情報を直接保存するようなケース）は、この非準拠に注意が必要です。
HubSpot PaymentsはPCI DSSに準拠した形で提供されますが、それ以外の方法で決済情報を取り扱う場合は、別途ベンダー側でPCI DSS準拠の対策を講じる必要があります。

また、HIPAAは米国の医療情報保護法です。医療関連の機密情報（PHI: Protected Health Information）をHubSpotで扱う場合は、HIPAAの要件を満たしているか、またはHIPAA準拠の別のソリューションと連携させるなど、追加の検討が必要です。
参照：HubSpotセキュリティ概要

これらの認証と準拠状況は、HubSpotが一般的なビジネス環境におけるセキュリティ要件を高いレベルで満たしていることを示しますが、特定の業界（決済、医療など）に特化した厳格な要件に対しては、個別の確認と追加の対策が必要になる場合があります。

【企業独自で導入が必要】HubSpot外でのセキュリティ対策

HubSpot自体が堅牢なセキュリティ機能を備えていますが、企業全体のセキュリティを確保するためには、HubSpotの範疇を超えた独自のセキュリティ対策も不可欠です。
これらの対策は、HubSpotの利用有無にかかわらず、すべての企業が取り組むべきものです。

ソフトウェア・技術的対策

ウイルス対策ソフトの導入
社内で使用するすべてのPCやサーバーに、最新のウイルス対策ソフトを導入し、常に更新しておくことは基本中の基本です。
これにより、マルウェア感染による情報漏洩やシステム障害を防ぎます。

VPNの活用による通信保護
リモートワークや外出先からのアクセス時には、VPN（Virtual Private Network）を活用し、通信経路を暗号化することが重要です。
これにより、公衆Wi-Fiなど安全ではないネットワークからの情報漏洩リスクを低減できます。

EDR（エンドポイント検知・対応）やマルウェア監視
PCやサーバーといったエンドポイントの不審な挙動を検知し、対応するEDR（Endpoint Detection and Response）ソリューションの導入や、マルウェア監視体制を構築することで、より高度な脅威にも対応できるようになります。

人的・組織的対策

社員へのセキュリティ教育・定期テスト
セキュリティ対策は、技術的な側面だけでなく、人間の意識に大きく左右されます。
社員全員に対する定期的なセキュリティ教育（フィッシング詐欺の見分け方、パスワード管理の重要性など）と、その理解度を確認するためのテストは不可欠です。

情報ポリシーの策定と管理
企業としてどのような情報をどのように扱うか、情報セキュリティポリシーを明確に策定し、社員に周知徹底することが重要です。
これにより、情報の取り扱いに関するルールを明確にし、内部からの情報漏洩リスクを低減します。

リスク管理体制（ERMなど）の導入
企業全体のリスクを洗い出し、評価し、対策を講じるリスク管理体制（Enterprise Risk Management：ERM）を導入することで、セキュリティリスクを網羅的に管理し、優先順位をつけて対策を進めることができます。

ベンダー管理（外部サービスの審査と管理）
HubSpot以外にも、多くの外部サービスを利用している企業は多いでしょう。
これらの外部サービスのセキュリティ体制を事前に審査し、契約後も定期的に管理することで、サプライチェーン全体のリスクを低減します。

物理的セキュリティ（入退室管理、監視カメラなど）
オフィスへの不正侵入を防ぐため、入退室管理システムの導入、監視カメラの設置、キャビネットの施錠など、物理的なセキュリティ対策も重要です。コーポレートネットワークの防御
企業ネットワークの境界には、ファイアウォールやIDS/IPSなどを設置し、外部からの不正アクセスや攻撃から防御することが必要です。

HubSpotはさまざまなセキュリティ機能が標準搭載。より強固にするなら追加の対策や運用も

いかがでしたか？
HubSpotは、非常に多くのセキュリティ機能を標準で搭載しており、基本的な利用においては高い安全性が確保されています。
特に、通信の暗号化、データの冗長化、堅牢なインフラ、そして継続的な監視体制は、HubSpotの信頼性を大きく高めています。

しかし、セキュリティは一度設定すれば終わりというものではありません。

各企業が取り扱うデータの機密性、事業規模、そして業界の規制要件によって、必要なセキュリティレベルは異なります。

HubSpotの導入を検討する際は、HubSpotが提供する標準機能に加え、ユーザー側で設定できる機能を最大限に活用し、さらに必要に応じて企業独自のセキュリティ対策を組み合わせることが重要です。

ナウビレッジに相談してみる