CRMのセキュリティ｜導入前にチェックすべき14項目と選び方

「CRMのセキュリティってどうなっているの？」
「セキュリティ性の高いCRMを選ぶには、どこを見るべき？」

企業ウェブサイトのためのセキュリティーチェックリスト

HubSpotでは、セキュリティー企業Sophosのエキスパートと共同で、ビジネスにおける基本的な安全策の徹底に役立つガイドとして、セキュリティーチェックリストを作成しました。

• ウェブサイトの安全性を保つためのベストプラクティス
• 業務データと顧客データの保護に向た対策
• フィッシング攻撃を判別し、回避する方法
• オンライン会議・イベントの前に押さえたい安全策

今すぐ無料でダウンロードする 詳しく見る 今すぐ無料でダウンロードする

今すぐダウンロードする

全てのフィールドが必須です。

ダウンロードの準備ができました

下記のボタンよりダウンロードいただけます。

今すぐダウンロードする

これから新たにCRMを導入するうえで気になるのが、セキュリティがしっかりとしているかどうかではないでしょうか。

とくに初めてCRMを導入する場合は、システムのセキュリティが気になるところだと思います。

もしくは、すでにECサイトや基幹システムなどを運用しており、セキュリティに関する知見がある場合は、CRMがどれだけのセキュリティ性で運用していけるのか気になりますよね。

CRMは、顧客情報をアナログな手法で管理するよりも、情報セキュリティを意識する必要があるため、少しでも高いセキュリティ性で運用していけるCRMが欠かせません。

しかし残念ながら、どのCRMを選ぶのかでセキュリティの高さやセキュリティ対策は、大きく変わってしまいます。

セキュリティ面で不安が残るCRMを導入してしまうと、別途独自のセキュリティ対策をする必要が出てきてしまったり、最悪の場合は情報漏えいや不正アクセスにより多大なるダメージを受けてしまうかもしれません。

万が一顧客情報を漏えいしてしまうと、企業としての信頼を失ってしまい大きな損失を生んでしまうでしょう。

だからこそ、CRMは導入してから終わりではなく、日々安全に運用していくことが何よりも重要だといわれています。

そこでこの記事では、以下の要素に着目してご紹介していきます。

CRMにおけるセキュリティについて事前に知識を身につけておけば、複数のCRMを比較したい際に、セキュリティ性の違いが明確に比較・判断できるようになるでしょう。

ぜひ、この記事を参考に、CRMのセキュリティに関する知識を身につけていってください。

今すぐにCRMを選ぶ際の判断基準となるセキュリティ一覧について知りたい方は、以下のリンクよりCRMのセキュリティ計13個をご覧いただけます。

CRM選定時に重要になるセキュリティ一覧はこちら

CRMの導入にあたり、機能や費用と同じレベルで「CRMのセキュリティ性」も重要視しなければいけません。

もちろん、「とりあえず、セキュリティ対策を取っていれば大丈夫」というわけではなく、しっかりと重要性を理解しておくべきです。

企業がセキュリティ性を重要視したうえで、しっかりとCRMを比較して選ぶべき理由は、主に以下の3つです。

CRMのセキュリティ性も重要な判断基準のひとつであることを理解しておけば、これからのCRM選びでも悩むことも少なくなるでしょう。

それぞれの理由について、わかりやすくご紹介していきます。
 

1-1. 【理由1】膨大な顧客情報を取り扱うので「情報漏えいリスク」と隣り合わせ

膨大な顧客情報を取り扱い・蓄積していくCRMを運用するということは、つねに情報漏えいリスクと隣り合わせであることが第一の理由です。

たとえば、CRMでは顧客関係を構築していくために、以下のようにあらゆる情報を顧客ごとに保管しています。

万が一、上記のような情報が第三者に漏えいしてしまうと、自社の信頼性が損なわれるだけでなく、顧客にも多大なる迷惑をかけてしまいます。

情報漏えいの被害範囲によっては、法的な罰則を受けることにもなってしまうでしょう。

たとえば、最近発覚した情報漏えいには以下のようなものがあります。

• 不正アクセスにより17万件の顧客情報流出・従業員450人の個人情報流出

• 元従業員の不正により2万5千件以上の顧客情報が流出・悪用

• システムの設定ミスによりオンラインストアと実店舗利用の顧客情報流出

このようなトラブルを事前に回避するために、すでに独自に情報漏えい対策をとっている企業も多いかと思います。

しかしCRMの場合は、1つのシステム上にあらゆる顧客情報が蓄積されているので、1度の不正アクセスやサイバー攻撃で漏えいしてしまう情報量は増えてしまう可能性が高いといえます。

あらゆる顧客情報を一元管理できるメリットがあるからこそ、情報漏えいリスクに対してより厳しく対策が必要なのです。
 

1-2. 【理由2】オンラインで管理するので「サイバー攻撃リスク」が高くなる

多くのCRMがオンラインで情報を管理・アクセス可能なシステムになっているため、サイバー攻撃リスクが高くなることも、セキュリティを重要視すべき理由のひとつです。

オンラインで管理することで、時間や場所に制限されずにCRMを活用できる点は、CRMの大きなメリットですが、同時にセキュリティ面では不安要素にもなり得るでしょう。

実際にIPAが調査した「情報セキュリティ10大脅威2025」によると、さまざまな情報を取り扱う上での情報セキュリティの脅威としてあげられる多くが、サイバー攻撃による脅威なのです。

出典：IPA独立行政法人情報処理推進機構「情報セキュリティ10大脅威2025」

このように、人的ミスなどの内部要因よりも、オンライン上にあるシステムに対するサイバー攻撃が何よりも脅威であることがわかります。

インターネットを介して情報保管やデータのやり取りをする限りは、常にサイバー攻撃への対策が欠かせないのです。

オンライン上でデータ保管・やり取りをするCRMの場合、予期せぬところからサイバー攻撃を受けてしまう可能性も高くなってしまうからこそ、CRMにも高いセキュリティ性が求められます。
 

1-3. 【理由3】年々、厳格化される「情報セキュリティ関連の法律」の遵守が必須

セキュリティを重要視してCRMを選ぶべき最後の理由が、アップデートされていく情報セキュリティ関連の法律を守るためには、高いセキュリティ性と最新セキュリティに関する認識が必要になるという点です。

以下のように、情報セキュリティに関連する法律は、社会情勢などに合わせて改定され、厳格化されてきました。

このように、情報セキュリティに関する法律は、サイバー攻撃数の増加や社会情勢の変化などに合わせて、改定が繰り返されます。

セキュリティ性が高いCRMを導入していれば、改定されていく法律にもスムーズに遵守できるようになり、あなたの負担や不安も軽減できるので安心してください。

反対に、セキュリティ性が低いCRMの場合は、法律が改定されても対処に時間がかかってしまったり、自社でセキュリティの変更作業が必要になる可能もあるのでしょう。

情報セキュリティに関するリスクとは切り離せないCRMだからこそ、常に法律を遵守できるようなセキュリティ性が求められるのです。
 

CRMにおけるセキュリティ性の重要度についてお伝えしましたが、すべてのCRMが高いセキュリティ性が保証されているわけではないので注意しましょう。

CRMでおこなえるセキュリティ対策や、利用できるセキュリティ機能は、機能や費用と同様にプラットフォームによってさまざまなのです。

CRMのセキュリティ性を調べずに、「費用が安いから」や「使いたい機能があったから」だけでCRMを選んでしまうと導入後に後悔してしまうでしょう。

セキュリティ性が十分ではないので、独自のセキュリティ対策をするためにお金と時間をかけなければいけなくなるかもしれません。

最悪の場合、セキュリティ性が十分ではないCRMが原因で、情報漏えい・サイバー攻撃・不正アクセスなどが起きてしまい企業として大ダメージを受けてしまう可能性もあるのです。

大切な顧客情報を守るためだけでなく、企業の信頼度を維持するためにも、CRM選定時からしっかりと比較してセキュリティ性の高いCRMを選びましょう。
 

自社に導入するCRMを選ぶ際に、判断基準としてみておくべきセキュリティの一覧は以下のとおりです。

それぞれの項目だけ見ても、どのような対策をしているのかわからないかと思います。

全ての専門知識について、100%理解しておく必要はありません。
しかし、検討しているCRMが情報セキュリティに対してどのような取り組みをとっているのかを比較しやすくなります。

ここで紹介するセキュリティ一覧チェックリストを活用して、検討中のCRMがどれだけのセキュリティ対策・機能を搭載しているのか確認してみましょう。

もしもこのチェックリストがほぼ埋まらないCRMの場合は、追加でセキュリティ対策を講じなければいけなくなります。

反対に、チェックリストをすべて埋めているCRMであれば、余計な心配なく安心して運用していけるでしょう。

あなたの会社にとって、最適なセキュリティ性を持ったCRMを選ぶためにも、ぜひご活用ください。

次章からは、それぞれのセキュリティ項目について、詳しく解説していきます。
 

ネットワークを介してアクセスできるCRMだからこそ、CRMに接続できる人や、閲覧できる範囲などをあらかじめ決めておく「権限制御」が重要になってきます。

CRMのセキュリティにおける権限制御とは、CRMにアクセスできる権限を限定することです。

CRMを利用する各ユーザーそれぞれに対して、必要な機能やデータのみをアクセス・操作できるように権限を割り振ることで、起こりうる情報漏えいリスク等を事前回避できます。

CRMに登録されているデータにアクセスできる従業員を、さまざまな条件のもと制限することで、内部要因による情報漏えいなどを事前に防げるでしょう。

たとえば、以下のような権限制御が可能です。

権限制御は、制限する条件などによって変わってきますが、代表的な上記2つについてみてみましょう。
 

4-1. 項目別のアクセス・操作実行制限

項目別のアクセス・操作実行制限とは、役職や部署などによってCRM上のデータにアクセス・操作できるユーザーを指定できることです。

CRMによっては、「項目アクセス制限」や「ユーザーアクセス制限」などとも呼ばれています。

たとえば、以下のような活用ができるでしょう。

・データ閲覧のみのユーザーと、内容を編集できるユーザーを分ける

・CRM上でアクセスできる情報を、部署によって分ける

・入社後一定期間内にアクセスできる情報を制限する

上記はあくまでも参考ですが、企業それぞれが独自の制限をかけることができるので、よりセキュリティ性を高めることもできるでしょう。
 

4-2. 強制アクセス制限

CRMの管理者が、強制的にユーザーのアクセス制限を管理することで、より強固な権限制御が可能です。

また、アクセス制限を変更したい場合などには、権限付与を管理者に許可してもらう必要があります。

たとえば、

• 新たにアクセスを許可した従業員を把握できる
• 機密性の高い情報にアクセスする従業員を、管理者側で強制的に指定できる
• 部署間の移動などで権限が変わる場合でも、スムーズに設定できる

などが可能になるため、一手間かかりますがより高いセキュリティレベルを維持出来るのです。
 

「1-2. 【理由2】オンラインで管理するので「サイバー攻撃リスク」が高くなる」でもお伝えしたように、オンラインで管理するCRMには不正アクセス対策が欠かせません。

CRM選定時に比較すべき不正アクセス対策には、主に以下のようなものがあります。

ネットワークを介してのデータのやり取りや保管には、サイバー攻撃リスクがつきものだからこそ、しっかりと不正アクセス対策を取れるようにしておくべきです。

ほとんどのCRMが不正アクセス対策をしていますが、具体的な対策内容まで理解したうえで、見極められるようにしておきましょう。
 

5-1. IPアドレス制限

IPアドレス制限とは、CRMにアクセスできるIPアドレスを制限することを指し、許可されていないIPアドレスを介したアクセスを遮断できます。

IPアドレスは、ネットワークを介してアクセスされている機器それぞれの住所のようなものです。

事前に、社内PCのIPアドレス・特定の管理者のIPアドレスなどのみからのアクセスができるように制限しておけば、不正アクセスを防げます。
 

5-2. 多要素認証や2段階認証

他要素認証や2段階認証は、ユーザーがCRMにログインする際に、2つ以上の要素を使って本人確認をする方法を指します。

これにより、ユーザーごとのログインがより強固になるため、第三者による不正ログイン対策として有効です。

一般的な多要素認証、2段階認証には、以下のようなものがあります。

テレワークなどで自宅からアクセスするユーザーが増えたり、営業担当が社外からアクセスしたりするケースもあるため、第三者のログインを防ぐためにも必要なセキュリティ対策です。
 

5-3. ファイアウォール

ファイアウォールとは、ネットワークを介して情報のやり取りを行う際に、事前に定めたルールをもとに不正アクセスであるかを判断し、侵入を自動拒否するセキュリティ対策です。

24時間365日、悪意のある侵入があるかを監視してくれるため、セキュリティ対策としては欠かせません。

たとえば、CRMを社内ネットワークのみからアクセス可能だと定義した場合、社外からのアクセスがあった場合に自動的に遮断してくれます。

ただし、ファイアウォールのみではセキュリティ対策として不十分なので、その他の対策と組み合わせることが重要です。
 

5-4. WAF

WAF（Web Application Firewall）とは、Webアプリケーションに対する不正アクセスや脆弱性を狙った攻撃から守ってくれるセキュリティ対策です。

ファイアウォールは、外部からの侵入を防ぐ目的でしたが、WAFの場合はアプリケーションに対する攻撃から守ることに特化しています。

CRMのなかには、ウェブアプリケーションを活用しているものもあるため、WAFで対策することでCRM全体を保護できるでしょう。

またWAFでは、ファイアウォールと同様に独自のルールに基づいて判断をしてくれます。

ファイアウォールや、他のセキュリティ対策と組み合わせることで、より不正アクセスやサイバー攻撃に強いセキュリティ対策が可能になるでしょう。
 

5-5. 監査ログ

監査ログとは、CRMにアクセスしたユーザーや、操作記録などをログとして記録することです。

「誰が」「いつ」「どのような操作をした」などを記録するため、不正アクセスや情報漏えいが起きた際に、即座に原因と対策を講じることがきます。

監査ログで記録する項目はさまざまで、

• ユーザー名
• ログイン時刻
• ログアウト時刻
• ログイン時に行った操作

などの記録をもとに、何が原因で不正アクセスや情報漏えいが起きたのかを特定しやすくなります。

直接的に不正アクセスや情報漏えいを防ぐセキュリティ対策ではありませんが、CRMのセキュリティを向上するために欠かせない機能といえるでしょう。
 

万が一、情報漏えいしてしまった場合に、そのデータが悪用されないためにも、通信やデータの暗号化も欠かせません。

CRMにおいて行う、通信・データの暗号化などのセキュリティ対策には、以下のようなものがあります。

もちろん、不正アクセスやサイバー攻撃などを未然に防ぐことが理想です。

しかしどんなにセキュリティ対策をしていても、防ぐことができない場合もあるため、万が一に備えて通信・データを暗号化することでリスクを最小限に抑えられるようにしておきましょう。

代表的な暗号化の例として、3つの暗号化とバックアップについてお話ししていきます。
 

6-1. 通信の暗号化

CRMに顧客情報や取引情報を入力するときに使う「通信」自体を暗号化することで、情報漏えいをするリスクを少なくできます。

ネットワークを介して情報管理やデータのやり取りをするCRMだからこそ、ほとんどのCRMに通信を暗号化する機能が備わっているといっても過言ではありません。

通信を暗号化する技術はさまざまで、「SSL」や「SSL／TSL」などという名称が使われていますが、現在ではよりセキュリティ性の高い「TSL」が採用されています。

とくにクラウド型のCRMの場合は、通信が暗号化されていることが必須条件となるので、導入前に確認しておくべきです。
 

6-2. データの暗号化

CRMなどに蓄積されていくデータを暗号化して保管しておくことで、万が一のケースにおいて悪用されるリスクを少なくできます。

データを暗号化しておくことで、

• 顧客の個人情報
• 企業の機密情報
• ユーザーパスワード
• 個別に登録しているURL

などの情報が漏えいした場合に備えられるでしょう。

データの暗号化については、CRMによってサポート範囲や暗号化したデータの復元などが変わってくるため、CRM導入前に確認しておくことをおすすめめします。
 

6-3. ディスクの暗号化

通信やデータ以外にも、CRMの提供元にあるハードディスクの暗号化も、セキュリティ対策として有効です。

通信やデータの暗号化は、ネットワーク上で起こりうる脅威に対して有効なセキュリティ対策ですが、ディスクの暗号化は物理歴な脅威に対して有効な方法です。

たとえば、CRMを提供しているサービス会社のデーターセンターにあるハードディスクを暗号化することで、機器が盗難にあった場合などでも流出したデータを悪用させるリスクを少なくできるでしょう。
 

導入を検討しているCRMが、どれだけセキュリティ対策などに力を入れているのかを判断する際には「第三者によるセキュリティ認証」を判断基準にするのも方法のひとつです。

「私たちのCRMは、高いセキュリティ性を誇っています」と言われても、その根拠がなければ信用できませんよね。

信頼できる団体の認証制度や、世界的に準拠すべき基準などを参考に、信頼できるセキュリティ性のあるCRMなのかを判断していきましょう。

ネットワークを介して利用するCRMは、国内のセキュリティ基準だけをクリアしていれば安心できるというわけではありません。

ここでは、高いセキュリティ性をもつCRMの多くが取得・基準クリアしている3つのセキュリティ基準について、簡単に紹介していきます。
 

7-1. プライバシーマーク

プライバシーマークとは、個人情報を適切に管理している事業者のみが使用することができるマークのことです。

第三者によって決められた審査基準をクリアしている、国内企業のみに付与されるマークで、企業がどのように個人情報やデータを取り扱っているのかの指標ともなります。

審査基準は複雑ですが、基本的には「情報漏えいが起きる要素がないか」を審査されていると考えましょう。
 

7-2. ISO／IEC27001

ISO／IEC27001とは、情報セキュリティマネジメントシステムに関する、国際標準規格のひとつです。

具体的には、情報セキュリティを維持するための3つの要素をしっかりと管理することを基準とされています。

• 機密性：誰でもアクセス・利用できない状態になっている
• 完全性：改ざんされていない状態になっている
• 可用性：許可されたものだけが、必要な時に必要な情報にアクセス・利用できる状態になっている

国内のセキュリティ基準だけではなく、国際基準もクリアしたい場合は参考にすると良いでしょう。
 

7-3. GDPR

GDPRとは、EC一般データ保護規則とも呼ばれる、EU域内に適用される個人データ保護について取り決めた法令です。

国外の規則ではありますが、以下のような基準に準拠することで、より高いセキュリティ性を保てます。

・自身の個人データ削除を管理者に要求できる

・自身の個人データを簡単に取得し、別のサービスに再利用できる

・個人データの侵害を迅速に知らせられる

・データ侵害に気づいてから72時間以内に、当該者へ通知できる

・監視、暗号化、匿名化などのセキュリティ要件を定めている　など

上記はあくまでも一部ですが、厳しいセキュリティ基準を保つための参考にしてみましょう。
 

ここまで、さまざまなCRMのセキュリティに関して解説してきました。

しかしそれだけではなく、情報管理サーバー自体を設置しているサーバー室等の「物理的なセキュリティ対策」も重要です。

たとえば、管理会社が以下のような対策をとっているのか調べてみましょう。

物理的なセキュリティがしっかりしていれば、より安心してCRMの情報管理を任せられるでしょう。
 

ここまで読み進めたことで、少しでもセキュリティ面で安心できるCRMを導入したいと考えているかと思います。

セキュリティ性の高いCRMを見極めるためには、以下のポイントを参考にしてみてください。

よりセキュリティ面で安心できるCRMを導入・運用していくために、セキュリティ性の比較をしたうえで選べるようにしておきましょう。
 

9-1. 基本料金で幅広い範囲までカバーできるセキュリティ対策・機能がある

まずは、毎月発生するCRM運用にかかる基本料金の範囲内で、どこまでのセキュリティ対策・機能があるのかを確認しましょう。

導入するCRMによって、標準装備されているセキュリティ対策・機能は違います。

最初から高いセキュリティ性で運用していける場合もあれば、最低限のセキュリティ対策しかされていないケースもあるでしょう。

「3. CRM選定時に重要になるセキュリティ一覧」を参考に、基本料金内でいくつのセキュリティ対策・機能が装備されているのか確認することが大切です。

9-2. 最新のセキュリティ情報やシステム稼働状況を発信している

CRMの提供元の会社が、最新のセキュリティ情報やシステム稼働状況について、リアルタイムで発信しているのかも重要な判断基準となります。

CRM提供元の会社が、以下のような情報を発信していないか、ホームページなどをみながら調べてみてください。

セキュリティに関する情報やシステムの稼働状況について発信してくれることで、ユーザーはより安心・信頼してシステムを運用していけるでしょう。
 

9-3. いざという時に管理会社が臨機応変に対処してくれる

万全のセキュリティ対策をしていても、100%不正アクセスや情報漏えいを防げるわけではありません。

万が一の場合には、管理会社が臨機応変に対応してくれるかどうかを確認しておきましょう。

例えば、不正アクセスがあったことにも気づかずに対処をとらずに放置してしまうと、膨大な量の個人情報漏えいになってしまうかもしれません。

しかし監視体制などの対処法が整っていれば、たとえ不正アクセスがあった場合でも早急に対処して最小限のダメージで抑えることができる可能性もあるのです。

24時間365日監視体制をおいている場合は、情報漏えいや不正アクセスなどに対して即座に対処してくれる可能性が高いので確認しておきましょう。
 

多くの企業で導入されているHubSpotでは、お客様のデータを保護することを最優先にするために、強固なセキュリティ対策と環境整備をおこなっています。

少しでもCRM運用におけるセキュリティ対策に不安を感じるのであれば、私たちHubSpotにお任せください。

HubSpotでは、この記事で紹介したセキュリティ対策はもちろんのこと、以下のような取り組みでお客様のデータを保護する環境を整えています。

とくにネットワークを介して情報の管理・やり取りをする、クラウド型のCRMにとって、情報セキュリティはともて重要です。

お客様がセキュリティに不安を感じながらCRMを運用する羽目にならないよう、当社でも全力でバックアップさせていただくのでご安心ください。

HubSpotでは、気軽に利用できる無料プランも用意されていますので、気になった方はぜひお試しください。

HubSpot CRMを
無料で試してみる→

この記事では、CRMにおけるセキュリティの重要性についてお話してきました。

ネットワークを介して顧客情報管理・共有をおこなうCRMにおいて、セキュリティ対策は導入前にしっかりと確認しておくべき必須項目です。

不正アクセスや情報漏えいが起きてしまうと、企業の信頼性を損なってしまい、ビジネス全体に大きなダメージを与えてしまいます。

そのため、万が一のことを考えて常に万全の対策をとっておくべきなのです。

ぜひ、この記事で紹介したCRMのセキュリティに関する知識を念頭に、しっかりとCRMを比較したうえで導入するCRMを決めるようにしてくださいね。