HubSpotには、通信やデータを保護する仕組み、インフラの冗長化、監査や運用管理など、サービス側で提供されるセキュリティ対策があります。一方で、ユーザーアカウントの認証方法や権限設定、顧客データの閲覧範囲などは、利用企業側の設定によって安全性が大きく変わります。

特に、管理者権限を必要以上に付与したり、複数人で同じアカウントを共有したりすると、HubSpot自体にセキュリティ機能があっても不正利用のリスクは高まります。また、不審なログインや権限変更が発生した場合は、設定を戻すだけでなく、顧客情報へアクセスされた形跡がないか確認することも重要です。

HubSpotのセキュリティを考える際は、「HubSpot側に任せられる対策」と「自社で設定すべき対策」を分けて考える必要があります。そこで本記事では、HubSpotの標準的なセキュリティ機能、自社で確認したい設定、不正アクセスが疑われた場合の対処までをわかりやすく解説します。

HubSpotではどこまでセキュリティ対策されている？

HubSpotでは、サービスを安全に利用するための通信・データ保護、インフラ運用、監査などの仕組みが用意されています。ただし、利用できる機能や設定項目は契約内容などによって異なる場合があるため、自社環境で利用可能な機能を確認することが重要です。

HubSpotでは通信や保存データを保護する仕組みが用意されている

HubSpotのようなクラウドサービスでは、利用者とサービス間でやり取りする情報や、クラウド上に保存される顧客・営業データを保護する仕組みが重要です。

サービス側で通信や保存データを保護する仕組みが整備されていても、利用者側が認証情報を第三者へ渡してしまえば、不正アクセスを完全に防ぐことはできません。サービス側の対策とアカウント側の対策を組み合わせて運用する必要があります。

HubSpotでは障害に備えたインフラと冗長化が行われている

顧客管理や営業活動にHubSpotを利用している場合、システム障害によってアクセスできなくなると業務へ影響する可能性があります。そのため、クラウドサービスでは可用性や冗長性もセキュリティの重要な要素です。

ただし、サービス提供側の冗長化と、自社が必要とするデータ保持や事業継続の仕組みは同じではありません。重要データをどのように管理するか、自社側でもバックアップやエクスポートに関する方針を整理しておくことが大切です。

HubSpotでは監査やセキュリティ監視の仕組みが用意されている

HubSpotには、利用状況やアカウント操作を把握するための監査・管理機能が用意されています。こうした情報は、ユーザーによる設定変更や不審な操作が発生した際の確認材料になります。

セキュリティ機能は「存在しているだけ」で安全になるわけではありません。定期的に確認する担当者や、不審な操作が見つかった場合の社内連絡フローまで決めておくと、インシデント発生時に対応しやすくなります。

HubSpotではインシデント発生時の対応体制が整備されている

クラウドサービスでは、障害やセキュリティインシデントが発生した場合の検知・対応体制も重要です。サービス提供側でインシデント対応の仕組みが整備されていても、自社アカウント内で起きた不正操作は利用企業側で確認しなければならない場合があります。

特に、フィッシングによって従業員のHubSpot認証情報が盗まれたケースなどでは、サービスそのものに問題がなくても、正規アカウントを使った不正アクセスが成立する可能性があります。

HubSpotの第三者認証やコンプライアンス対応を確認する

法人でHubSpotを導入する場合は、セキュリティ機能だけでなく、第三者認証や各種コンプライアンスへの対応状況も確認しておくことが重要です。

ただし、「認証を取得しているサービスだから何を保存しても安全」と判断するのは適切ではありません。自社が扱うデータの種類、業界規制、社内ルールなどと照らし合わせて利用可否を判断してください。

HubSpotへ保存できるセンシティブデータの範囲を確認する

HubSpotへ顧客情報を登録する際は、どの種類の情報まで保存してよいのかを事前に確認してください。氏名や連絡先など通常の顧客情報だけでなく、より機密性の高い情報を扱う場合は特に注意が必要です。

HubSpot側で特定のセンシティブデータに対応する機能が提供されている場合でも、利用条件や対象範囲を確認する必要があります。自社の判断だけで機密情報を登録せず、サービス仕様と社内ポリシーを照合することが重要です。

HubSpotを安全に使うために自社で設定すべき項目

HubSpot側でセキュリティ対策が行われていても、認証や権限設定が適切でなければアカウント乗っ取りや情報漏えいにつながる可能性があります。特に管理者権限と顧客情報へのアクセス範囲は、導入時から見直すことが重要です。

HubSpotアカウントに多要素認証を設定する

HubSpotアカウントの乗っ取りを防ぐうえで、認証をパスワードだけに依存しないことが重要です。多要素認証を利用すると、パスワードが第三者に知られた場合でも追加の認証が必要になるため、不正ログインのリスクを抑えられます。

特に管理者権限を持つユーザーや、多くの顧客情報へアクセスできる担当者は優先的に設定してください。

ユーザーごとのアクセス権限を必要最小限に設定する

すべての従業員へ広い権限を付与すると、アカウントが侵害された場合の被害範囲も大きくなります。業務に必要な範囲だけアクセスできるように、ユーザーごとの権限を設定してください。

異動や退職があった場合には、不要になった権限を速やかに削除することも重要です。退職済みの従業員アカウントが残っていると、第三者に悪用されるリスクがあります。

顧客データやコンテンツの閲覧権限を制限する

HubSpotには顧客情報や営業情報など、部署によっては閲覧する必要のないデータも保存されます。必要以上に広い閲覧範囲を設定すると、内部不正やアカウント侵害時の情報漏えいリスクが高まります。

営業、マーケティング、管理者など役割ごとに、どの情報へアクセスする必要があるかを整理して権限を設定してください。

メール認証とアカウント健全性を確認する

HubSpotをメールマーケティングなどに利用している場合は、送信元ドメインの認証やアカウント状態も確認することが重要です。

メールに関する設定が不適切だと、なりすましや配信品質の問題につながる場合があります。HubSpot内の設定だけでなく、自社ドメイン側の管理についても担当者を明確にしてください。

プライバシー設定を確認してGDPR対応を整理する

HubSpotで個人情報を扱う場合は、プライバシーに関する設定や同意管理についても確認する必要があります。

GDPRなどへの対応が必要な企業では、単に機能を有効にするだけでなく、どのデータを何の目的で取得し、どの期間保持するかを自社のポリシーとして整理してください。

HubSpotだけに依存せず端末と社内アカウントも保護する

HubSpotアカウント自体を強化しても、従業員が利用するパソコンやメールアカウントが侵害されれば、認証情報を盗まれる可能性があります。

端末のセキュリティ対策、OSやブラウザの更新、フィッシング対策、従業員教育なども合わせて実施する必要があります。HubSpotだけを守るのではなく、HubSpotへログインするまでの環境全体を保護することが重要です。

HubSpotへの不正アクセスが疑われる場合に確認すること

身に覚えのないログインや権限変更などが発生した場合は、パスワードを変更するだけでなく、第三者がどこまで操作したのかを確認します。顧客情報を扱う環境では、アクセス履歴や操作記録を削除せず残しながら状況を整理することが重要です。

身に覚えのないログインやアカウント操作がないか確認する

不正アクセスが疑われる場合は、最初に通常とは異なるログインやアカウント操作がないか確認します。

利用していない時間帯や身に覚えのない端末からのアクセス、突然の設定変更などがある場合は、第三者がアカウントを操作した可能性があります。日時やユーザーを記録しておくと、後から調査しやすくなります。

ユーザー権限が勝手に変更されていないか確認する

攻撃者がアカウントへのアクセスを維持するために、別のユーザーへ権限を付与したり管理者設定を変更したりする可能性があります。

特に管理者権限を持つユーザーが追加されていないか、既存ユーザーの権限が不自然に拡大していないかを確認してください。

顧客情報が不審に閲覧または変更されていないか確認する

HubSpotへの不正アクセスが成立していた場合は、ログインの有無だけでなく、顧客情報へどこまでアクセスされたのかを確認する必要があります。

顧客データの変更、エクスポートなど、通常とは異なる操作がないか確認してください。個人情報や営業上重要な情報が含まれている場合は、情報漏えいの可能性も考慮する必要があります。

監査ログや操作履歴を削除せず保全する

不正アクセスの原因や影響範囲を確認する際は、監査ログや操作履歴が重要な調査材料になります。

被害発覚後に設定を戻すことを急ぎ、関連するログや記録まで失うと、第三者がどの操作を行ったのか確認しにくくなります。取得できる記録は削除せず保存してください。

不正アクセスが疑われるアカウントの認証情報を見直す

認証情報が第三者に知られている可能性がある場合は、パスワードを変更し、利用可能であれば多要素認証など追加の認証設定も確認します。

同じパスワードをメールやほかの業務サービスでも使用している場合は、HubSpot以外にも不正アクセスが広がる可能性があります。関連するアカウントについても確認してください。

情報漏えいの範囲を判断できない場合は専門業者に相談する

HubSpotの設定を修正してアカウントを保護できても、不正アクセスが発生していた期間にどの顧客情報が閲覧されたのか、データが外部へ持ち出されたのかまで判断できない場合があります。

特に、管理者アカウントが侵害されている、顧客データの不審な操作がある、HubSpot以外の端末やメールにも異常が確認されている場合は、被害範囲を広く確認する必要があります。

フォレンジック調査では、端末やアカウント周辺に残るログ、操作履歴などを解析し、不正アクセスの有無や侵入経路、影響範囲を客観的に確認できます。情報漏えいの範囲を自社だけで判断できない場合は、専門業者への相談を検討してください。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上あるフォレンジック調査サービスです。

24時間365日の相談窓口があり、相談から見積りまで無料で対応しています。不正アクセスや顧客情報漏えいが疑われ、被害範囲や侵入経路を自力で判断できない場合に相談できます。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

HubSpotには通信やデータを保護する仕組み、監査・運用管理などのセキュリティ機能がありますが、安全に利用するには自社側の設定も重要です。多要素認証、ユーザー権限、顧客データへのアクセス範囲、プライバシー設定などを定期的に確認してください。

不審なログインや権限変更が確認された場合は、認証情報を見直すだけでなく、監査ログや操作履歴を保全し、顧客情報へ不正にアクセスされていないか確認する必要があります。情報漏えいの範囲を自力で判断できない場合は、専門調査による確認も検討しましょう。