【HubSpot】HubSpotのセキュリティ設定はどこまでできる？二段階認証・SSO・IP制限・監査ログと必要なプラン

社内の情報セキュリティ審査で「HubSpotはどこまで制御できるのか」と聞かれ、答えに詰まる運用担当者は少なくありません。HubSpotでは、ログインの方法、見られる範囲、エクスポート、操作の記録まで管理者が設定できますが、機能によって必要なプランが大きく違います。設定場所と必要なプランを、よくある困りごと別に整理しました。

HubSpotのセキュリティ設定でできること・できないこと

ログインまわりの制御はStarterから一通りそろい、項目単位の閲覧制限やエクスポートの承認はEnterpriseの機能です。

HubSpotのセキュリティ設定とは、誰がどの方法でログインできるか、ログインした人が何を見て何を持ち出せるか、そして誰が何をしたかの記録を、管理者が決めるための設定の総称です。多くは「設定」→「セキュリティー」の画面にまとまっており、変更にはスーパー管理者の権限が要ります。

ログインを守る設定

不正ログイン対策の土台になる設定は、どれも「設定」→「セキュリティー」→「ログイン」タブにあります。

二段階認証

Starter、Professional、Enterpriseのアカウントでは、ユーザー名とパスワードでのログインに二段階認証が必須で、オフにはできません。無料ツールだけのアカウントは、スーパー管理者か「アカウントの既定の設定を編集」の権限を持つ人が、全員に必須にするかどうかを選べます。必須にすると24時間後に有効になり、特定のユーザーだけを外すことはできません。

認証の方法は、パスキー、認証アプリ、SMSから選びます。SMSはHubSpot自身が最も安全性が低いとしているので、認証アプリかパスキーを勧めてください。

SSO（シングルサインオン）

SSOを使うと、社内のIDプロバイダーで認証した人だけがHubSpotに入れるようになります。必要なのは、Marketing Hub、Sales Hub、Service Hub、Data Hub、Content Hub、Smart CRM、Revenue HubのいずれかのProfessional以上です。設定できるのはスーパー管理者だけで、Okta、OneLogin、Microsoft Entra ID、Google Workspace、AD FSには公式の手順があります。

SSOを設定したら、「シングルサインオンを必須にする」をオンにして、全員をSSO経由のログインに切り替えます。SSOのアカウントを持たない外部の協力会社などは、除外ユーザーに指定できます。IDプロバイダーが止まったときに備えて、スーパー管理者を1人は除外しておくよう、HubSpotは勧めています。

ログイン方法とセッションのタイムアウト

「許可されたログイン方法」で、HubSpotのパスワード、Google・Microsoft・Appleのアカウント、SSO、パスキーのうち、どれを使わせるかを選べます。「ログイン設定ウィザード」では、無操作のときに再ログインを求めるまでの時間も、15分から3日の範囲で決められます。

IPアドレスと場所の制限

Starter以上なら、「アカウント制限」の「許可されたログインIPアドレス」をオンにして、ログインできるIPアドレスを指定できます。範囲はハイフンでつないで指定でき、モバイルアプリにも効きます。在宅勤務の人など、例外にしたいユーザーは除外できます。

国単位で絞りたいときは「許可するログイン場所」を使います。許可していない国からのログインは、正しいパスワードでも弾かれます。

パスワードのルール

桁数や文字の種類、有効期限といったパスワードのルールを、管理者が独自に決める設定はありません。社内規程でパスワードのルールを求められている場合は、SSOを必須にして、IDプロバイダー側のルールに従わせます。

見られる範囲と持ち出しを絞る設定

閲覧と持ち出しの制御は、レコード単位ならどのプランでも、項目単位とエクスポートの承認はEnterpriseでできます。

ユーザー権限とチーム

ユーザーごとに、コンタクトや取引などのレコードを「すべて」「自分のチームの分」「自分の分」のどこまで見られるか、編集・削除できるかを決められます。「エクスポート」の権限をオフにすれば、そのユーザーはCRMのレコードやレポートを書き出せません。

「自分のチームの分」で絞るにはチーム機能が必要で、ProfessionalかEnterpriseで使えます。親子関係のあるチームを作れるのはEnterpriseだけです。

プロパティごとの閲覧・編集制限

Enterpriseなら、プロパティごとに「スーパー管理者のみ」「全員が閲覧のみ」「ユーザーやチームごとに閲覧・編集／閲覧のみ／アクセスなし」を設定できます。契約金額など、一部の人にだけ見せたい項目に使います。

HubSpot自身はこの制限を「セキュリティ対策ではない」としており、APIやレコードの手動作成では、権限に関係なく値を入れられます。メールアドレスや氏名など、閲覧を制限できない標準プロパティもあります。スーパー管理者には制限をかけられないため、スーパー管理者の人数そのものを絞ってください。

エクスポートの承認

Marketing Hub、Sales Hub、Service Hub、Data Hub、Content HubのいずれかのEnterpriseなら、指定した件数を超えるエクスポートに承認を挟めます。設定は「設定」→「承認」の「データのエクスポート」です。対象はレコード、セグメント、プロパティ履歴のエクスポートで、レポートのエクスポートには承認を設定できません。

機密データとHIPAA

氏名やメールアドレスを超える個人情報、たとえば身分証の番号、口座情報、健康・医療の情報を保存するには、「機密データ」の設定を有効にします。必要なのは各HubかSmart CRM、Revenue HubのEnterpriseで、有効にできるのはスーパー管理者だけです。

機密データのプロパティは、パーソナライズトークンやチャットボットでは使えなくなります。エクスポートの承認をオンにしていれば、機密データを含むエクスポートは件数に関係なく承認が必要です。

米国のHIPAAの対象となる健康情報を扱う場合は、設定の途中でBAA（事業提携契約）に同意します。一度選んだデータの種類はあとから外せないので、何を保存するかを先に決めてください。

ファイルの公開範囲

ファイルツールにアップロードしたファイルは、公開、公開（検索エンジンに載せない）、非公開から選べます。非公開にしたファイルのリンクは、同じアカウントにログインしている人しか開けません。社外に渡す必要があるときは、24時間だけ有効な公開リンクを発行できます。

記録とチェックで不審な動きに気づく

誰が何をしたかの記録はStarterから見られ、アカウントの弱いところはどのプランでも点検できます。

監査ログ

「設定」→「監査ログ」で、ログイン履歴とセキュリティに関わる操作を確認できます。必要なのはMarketing Hub、Sales Hub、Service Hub、Data Hub、Content HubのいずれかのStarter以上と、スーパー管理者の権限です。

画面で見られるのは直近30日分で、セキュリティの操作は過去1年分をCSVで書き出せます。StarterとProfessionalで追えるのはログインとセキュリティの操作だけで、承認やワークフローの変更履歴、日ごとの件数を見る「分析」タブはEnterpriseの機能です。

スーパー管理者は、1日にエクスポートが多く行われたときと、誰かの管理者権限が外されたときに、メールで通知を受け取れます。

セキュリティーヘルス

「設定」→「セキュリティー」の「権限」タブでは、アカウントの状態を項目ごとに点検できます。全プランで使え、見られるのはスーパー管理者か「セキュリティーセンターへのアクセス」の権限を持つ人です。

チェックされるのは、90日以上ログインしていないユーザー、二段階認証の登録状況、重要な権限を持つユーザー、スーパー管理者の人数、スーパー管理者の権限を持つパートナーのユーザーです。見直しが必要な項目があると、四半期ごとに通知が届きます。

情報セキュリティ審査で聞かれやすい項目

審査の質問票で聞かれやすいのは、第三者認証、データの保管場所、ドメインとメールの設定、外部連携の認証方法です。

第三者認証とTrust Center

HubSpotのTrust Center（trust.hubspot.com）では、SOC 2 Type IIなどの報告書や侵入テストの証明書を入手できます。SIGやCAIQといったセキュリティ質問票の回答済みのものもあり、自社の審査票を埋めるときの元資料になります。

ISO 27001の認証は、Trust Centerの掲載項目には見当たりません。審査でISO 27001の取得を条件にされている場合は、SOC 2の報告書で代えられるかを社内で相談し、HubSpotの担当者にも確認してください。

データの保管場所

HubSpotのデータセンターは、EU、カナダ、オーストラリア、米国（西部・東部）の5か所です。有料プランでは申し込み時のIPアドレスの場所をもとに割り当てられ、あとから別のデータセンターに無料で移せます。日本のデータセンターはなく、HubSpotは当面増やす予定はないとしています。

ドメインのSSLとメールの送信ドメイン認証

HubSpotにつないだドメインには、無料のSSL証明書が自動で発行され、期限の30日前に自動で更新されます。自社で買った証明書を使いたい場合は、有料のアドオンが必要です。

メールの送信ドメイン認証は、「設定」→「コンテンツ」→「ドメインとURL」の「メール送信」タブで設定します。表示されるDKIM、SPF、DMARCのレコードをDNSに追加します。DKIMを設定しないと、自社ドメインのアドレスを差出人にしてメールを送れません。

APIキーの廃止と外部連携

外部システムとつなぐための「APIキー」は2022年11月30日に使えなくなり、非公開アプリのアクセストークンに置き換わりました。その非公開アプリも、従来の形式での新規作成が2026年10月26日までに終わり、今は「設定」→「連携」の「サービスキー」が推奨されています。作成済みの非公開アプリは、今のところそのまま動きます。使っていない連携は棚卸しして削除してください。

よくある困りごと別の対応

多くの困りごとは今のプランの権限設定で対応でき、足りない部分はプランの変更か社外の仕組みで補います。

社内の情報セキュリティ審査を通したい

まずTrust CenterからSOC 2の報告書と回答済みの質問票を入手し、審査票の項目に当てはめます。アカウント側では、二段階認証が必須であること、SSO（Professional以上）、IP制限と監査ログ（Starter以上）を示します。セキュリティーヘルスの画面で、不要なスーパー管理者や長くログインしていないユーザーを整理してから審査に出してください。

データを国内に置くことが条件の場合、HubSpotでは満たせません。保管場所の条件を緩められないかを先に社内で確認してください。

退職者のアクセスをすぐ止めたい

「設定」→「ユーザーとチーム」で、該当のユーザーを「非アクティブ化」します。全プランで使え、HubSpotのシステム全体に反映されるまで最大5分かかります。担当していたレコードや過去の活動は残るので、担当者はあとで付け替えます。

人の入れ替わりが多い会社なら、OktaとのSCIM連携で、Okta側でアカウントを止めたらHubSpotのユーザーも自動で非アクティブ化されるようにできます。SCIMにはProfessional以上とSSOの設定が必要です。SSOを必須にしていれば、IDプロバイダー側でアカウントを止めた時点で新しいログインはできなくなります。

個人情報をエクスポートされないようにしたい

どのプランでも、ユーザー権限の「エクスポート」をオフにすれば、そのユーザーはCRMのレコードやレポートを書き出せません。書き出しが必要な人だけに権限を残します。

Enterpriseなら、エクスポートの承認で一定件数以上を承認制にし、監査ログの通知で大量のエクスポートに気づけるようにします。

画面のスクリーンショットや書き写しは、HubSpotの機能では防げません。端末管理など社内の対策と組み合わせてください。

外部のパートナーに最小限だけ見せたい

代理店や業務委託先には専用のユーザーを作り、担当させるレコードだけを割り当てて、閲覧・編集を「自分の分」に、エクスポートと削除をオフにします。Professionalならチーム単位で見られる範囲をまとめて管理でき、Enterpriseならプロパティ単位で金額などの項目を隠せます。

IP制限やSSOを必須にしている場合は、パートナーを除外ユーザーにしてください。除外したユーザーは、二段階認証付きのパスワードか、Google・Microsoftのアカウントでログインします。作業が終わったら、すぐに非アクティブ化します。

Professional以下で、取引の金額など特定の項目だけを外部に隠したい場合は、標準機能では対応できません。共有用のレポートやファイルを別に作って渡すなど、HubSpotの外で範囲を区切る方法を検討します。

不正ログインに気づきたい

Starter以上なら、監査ログの「ログイン履歴」で、モバイルアプリからのものも含めて直近30日のログインを確認できます。HubSpotは見慣れない端末や場所からのログインにメールで確認コードを送ります。身に覚えのないコードが届いたら、すぐにパスワードを変えて管理者に連絡するよう社内で決めておきます。

監査ログのメール通知の対象は、大量のエクスポートと管理者権限の削除です。ログインの点検は、毎週や毎月など日を決めてログイン履歴を見る形になります。国外からのログインがありえない会社なら、「許可するログイン場所」を日本だけにしておくと、そもそも入れなくなります。

まとめ

HubSpotのセキュリティ設定は、ログインの制御と記録はStarterから、SSOとチームでの閲覧制限はProfessionalから、項目単位の制限・エクスポートの承認・機密データはEnterpriseから使えます。

自社の審査票や社内規程の項目を書き出し、今のプランで足りるものと、上のプランや社外の仕組みが必要なものに分けてから、プランの変更を検討してください。

ハレフルへのご相談

株式会社ハレフルは、HubSpot・Salesforceの導入・運用支援を行っています。「情報セキュリティ審査の質問票にHubSpotの設定をどう書けばよいか分からない」「退職者や外部パートナーの権限を整理したい」「個人情報の持ち出しを防ぐ設定を今のプランで組みたい」といったご相談をお受けしています。

月10時間からの保守プランもご用意しており、スポット対応や小規模なサポートから始められます。

まずはお気軽にお問い合わせください。