Sécurité et conformité HubSpot : guide de gouvernance pour les entreprises

HubSpot est une plateforme sécurisée, auditée de manière indépendante. Dans le cadre d'un déploiement en entreprise, la majeure partie des risques liés à la sécurité et à la conformité réside dans la manière dont vous configurez, gouvernez et contrôlez la plateforme.

À mesure que davantage d'équipes, d'intégrations et de données sensibles transitent par HubSpot, l'exposition aux erreurs de configuration, aux permissions excessives et aux risques réglementaires augmente.

Ce guide s'adresse aux personnes responsables de ces risques : les responsables de la sécurité, de l'informatique et des opérations de revenus (RevOps).

Il couvre ce que HubSpot sécurise pour vous, ce qui reste de votre responsabilité, comment gouverner la plateforme pour qu'elle évolue en toute sécurité, et pourquoi la posture de sécurité de votre partenaire d'implémentation est tout aussi importante que celle de la plateforme elle-même.

HubSpot est-il suffisamment sécurisé pour les entreprises et les organisations réglementées ?

Oui. HubSpot dispose d'un programme de sécurité mature, audité de manière indépendante, et les certifications et attestations de sa plateforme répondent aux exigences de la plupart des acheteurs en entreprise et dans les secteurs réglementés.

HubSpot met à disposition un rapport SOC 3 public ainsi qu'un rapport SOC 2 Type 2 confidentiel couvrant la disponibilité, la confidentialité et la sécurité des données clients, chiffre les données en transit et au repos, et propose des outils orientés RGPD et CCPA.

Son Trust Center publie en temps réel l'état de la plateforme et les informations relatives aux incidents.

La question la plus pertinente pour un acheteur en entreprise n'est pas « HubSpot est-il sécurisé ? » mais « pouvons-nous exploiter HubSpot de manière à satisfaire nos régulateurs et notre propre tolérance au risque ? »

La réponse dépend du modèle de responsabilité partagée : HubSpot sécurise la plateforme et son infrastructure ; vous êtes responsable des personnes qui y ont accès, de ce qu'elles peuvent faire une fois connectées, et de la manière dont vos données sont classifiées, conservées et gouvernées.

Quasiment tous les incidents évitables que nous observons proviennent du côté client de cette ligne de partage.

Quels contrôles de sécurité HubSpot fournit-il nativement ?

HubSpot intègre un ensemble étendu de contrôles de niveau entreprise. Le travail consiste à les configurer et à les gouverner. Voici les contrôles essentiels qu'une équipe de sécurité doit connaître :

• Chiffrement. Les données sont chiffrées en transit et au repos. Les champs hautement sensibles doivent être déchiffrés avant de pouvoir être consultés ou modifiés, ce qui constitue une barrière délibérée contre l'exposition involontaire. Consultez notre guide sur le chiffrement des données HubSpot.
• Contrôle d'accès par rôle et par champ. Les permissions peuvent être définies par utilisateur, par équipe et par champ individuel, afin que chaque personne ne voie que ce que son rôle exige. Il s'agit du contrôle offrant le plus grand effet de levier dans la plupart des portails.
• Authentification. L'authentification multifacteur et le SSO/SAML vous permettent de centraliser la gestion des identités et d'appliquer votre propre politique de connexion plutôt que de dépendre de mots de passe distincts.
• Journalisation d'audit. L'historique de connexion et les journaux d'activité de sécurité et de contenu peuvent être consultés dans la plateforme et exportés vers un SIEM ou un outil d'analyse de journaux à des fins de surveillance et d'investigation.
• Liste d'adresses IP autorisées. Les connexions peuvent être restreintes à des emplacements réseau approuvés, renforçant le contrôle d'accès aux portails sensibles.
• Panneau Security Health. Un tableau de bord intégré signale les paramètres insuffisamment sécurisés et recommande des corrections, offrant aux administrateurs un point de contrôle régulier par rapport aux bonnes pratiques.
• Accès API sécurisé. Les anciennes clés API ont été abandonnées au profit de jetons d'applications privées et d'OAuth, réduisant le risque lié aux identifiants à longue durée de vie.
• Sauvegardes. Les super administrateurs peuvent créer des sauvegardes CRM à la demande, et des sauvegardes récurrentes planifiées sont disponibles pour les comptes Enterprise. Des sauvegardes indépendantes hors site des enregistrements et des métadonnées (workflows, propriétés, automatisations) restent une précaution supplémentaire judicieuse.

Pour approfondir les protections des données de la plateforme, consultez Sécurité des données HubSpot : un guide complet et, pour les fonctionnalités d'IA en particulier, Sécurité de l'IA HubSpot : ce que les CTO et CIO doivent savoir.

Comment gouverner les risques de sécurité et d'accès dans HubSpot ?

C'est au niveau de la gouvernance que le risque en entreprise se concentre réellement. Les contrôles ci-dessus ne valent que par le processus qui les maintient, et ce processus relève de la responsabilité de la direction, pas d'une simple tâche d'administration.

Trois disciplines sont essentielles.

Intégrer l'évaluation des risques de sécurité dans un cycle récurrent

Traitez l'évaluation des risques comme un rythme de gouvernance continu plutôt que comme un exercice ponctuel.

Évaluez la valeur des actifs du portail (données clients, pipeline, campagnes propriétaires), la gravité et la probabilité des menaces qui pèsent sur eux, ainsi que le coût de leur atténuation, puis déployez les contrôles là où l'exposition est la plus importante.

Relancez cette évaluation à chaque changement significatif du portail : une nouvelle intégration, une réorganisation, une vague de nouveaux utilisateurs.

Appliquer le principe du moindre privilège et la séparation des tâches

La prolifération des accès est le mode de défaillance le plus courant. Attribuez les permissions par rôle, et non par individu ; accordez le minimum nécessaire à chaque rôle ; séparez les tâches incompatibles afin qu'aucune personne ne puisse à la fois effectuer et approuver une modification sensible ; et révisez les accès selon une cadence définie.

Reliez les modifications de permissions à un processus de gestion des arrivées, mutations et départs afin que les accès soient attribués et, surtout, révoqués lorsque les personnes changent de rôle ou quittent l'entreprise. Supprimez régulièrement les permissions inutilisées et les comptes inactifs.

Mettre en place un contrôle des changements de configuration

Les workflows, propriétés et automatisations interconnectés de HubSpot signifient qu'un seul changement peut se répercuter sur tout le portail. Un processus léger de contrôle des changements, comprenant une analyse d'impact préalable, une approbation formelle pour les modifications sensibles et un journal consignant ce qui a été modifié, par qui et quand, prévient les interruptions auto-infligées et vous fournit une piste d'audit.

C'est la même discipline de gouvernance qui distingue un déploiement durable en entreprise d'un déploiement qui se dégrade silencieusement ; ce sujet est traité dans notre guide de gestion du changement HubSpot.

Quelles réglementations s'appliquent à HubSpot et comment rester en conformité ?

Les réglementations applicables dépendent de votre secteur et des données personnelles que vous détenez, mais pour la plupart des entreprises, le socle est le RGPD (UE/Royaume-Uni), le CCPA/CPRA (Californie) et, pour les données de santé, la loi HIPAA.

HubSpot fournit des outils pour soutenir chacune d'entre elles : gestion du consentement et des abonnements, traitement des demandes des personnes concernées, contrôles de conservation et de suppression des données, et, pour les comptes Enterprise éligibles correctement configurés, des fonctionnalités contribuant à la conformité HIPAA.

La conformité, cependant, se démontre par des preuves.

La sécurité au niveau des champs réserve l'accès aux données réglementées aux utilisateurs autorisés, et les journaux d'événements exportables fournissent la piste d'audit que les régulateurs et les auditeurs attendent. Si vous opérez dans un secteur réglementé, consultez Conformité HIPAA de HubSpot et pourquoi les prestataires de santé choisissent Huble pour le CRM HubSpot.

Comment prévenir les incidents de sécurité dans HubSpot et y répondre ?

La plupart des incidents HubSpot sont opérationnels plutôt que malveillants : l'importation d'une mauvaise liste de contacts, des identifiants partagés, un e-mail envoyé à la mauvaise audience, l'attribution d'un rôle trop permissif, ou des données accidentellement supprimées ou écrasées.

Un portail doté d'une gouvernance limite l'étendue de chaque incident et vous offre une procédure de réponse claire.

Les contrôles qui réduisent le plus la probabilité et l'impact des incidents sont les suivants :

• L'accès selon le moindre privilège, afin qu'une seule erreur ou un compte compromis ne puisse atteindre qu'une partie limitée des données.
• L'authentification multifacteur obligatoire pour neutraliser les mots de passe partagés ou volés.
• Les approbations d'envoi d'e-mails et les vérifications d'audience pour détecter les erreurs d'envoi avant leur expédition.
• Les sauvegardes à la demande et planifiées pour permettre la récupération après une suppression accidentelle.
• La surveillance et une procédure de réponse définie, précisant qui est notifié, qui réinitialise les accès et qui enquête, afin que la réponse soit préparée, et non improvisée.

La sensibilisation des utilisateurs constitue le fondement de tout cela. La majorité de ces incidents sont imputables à l'erreur humaine ; des formations récurrentes et des procédures claires de traitement des données contribuent donc autant à votre posture de sécurité que n'importe quel contrôle technique individuel.

Pourquoi les certifications ISO sont-elles importantes lors du choix d'un partenaire HubSpot ?

Parce que, dans le cadre d'une implémentation en entreprise, votre partenaire dispose d'un accès privilégié à vos systèmes et à vos données. Sa posture en matière de sécurité, de qualité et de gouvernance de l'IA fait donc partie intégrante de la vôtre.

Trois normes jouent ce rôle. ISO/IEC 27001:2022 couvre la gestion de la sécurité de l'information. ISO 9001:2015 couvre la gestion de la qualité. ISO/IEC 42001:2023 couvre la gestion de l'IA, une discipline distincte de la sécurité et un critère de plus en plus courant dans les évaluations de fournisseurs en entreprise.

Chacune fait l'objet d'un audit indépendant. Ensemble, elles fournissent à une équipe achats ou sécurité des preuves vérifiées par un tiers que le partenaire applique des processus contrôlés et reproductibles, ce qui répond à une part substantielle de l'évaluation des risques fournisseur avant même le début de la collaboration.

Huble est certifié ISO/IEC 27001:2022, ISO 9001:2015 et ISO/IEC 42001:2023. Nous sommes un Triple Elite HubSpot Solutions Partner et avons été désignés partenaire mondial de l'année HubSpot en 2024.

Notre approche, Reliability by Design, intègre la gouvernance, la documentation et la sécurité dans l'implémentation elle-même, plutôt que de les traiter après coup.

C'est pourquoi des organisations dans des secteurs réglementés et à fortes exigences de gouvernance, notamment les services financiers, la santé et l'industrie, nous choisissent pour des projets HubSpot complexes et multirégionaux.

Pour comprendre en détail comment la certification réduit les risques de mise en œuvre, découvrez comment les certifications ISO 27001 et ISO 9001 réduisent les risques des implémentations CRM HubSpot et comment ces certifications devraient orienter votre choix de cabinet de conseil.

Votre partenaire HubSpot doit-il être certifié pour la gestion de l'IA ?

De plus en plus, oui, si l'IA doit accéder à vos données CRM.

Les fonctionnalités d'IA de HubSpot lisent, résument, évaluent et génèrent du contenu à partir de vos enregistrements clients.

Cela modifie la question de la gouvernance. Il ne s'agit plus seulement de savoir « ces données sont-elles sécurisées ? », mais « comment l'IA qui y accède est-elle gérée ? » : qui approuve un cas d'usage, quelles données l'alimentent, qui vérifie les résultats avant qu'ils ne parviennent à un client, et comment le rôle de l'IA dans une décision est consigné.

La plupart des cadres de sécurité en entreprise n'ont pas été conçus pour répondre à ces questions. ISO/IEC 42001:2023 est la norme internationale conçue à cette fin.

Elle certifie un système de management de l'IA, faisant pour la gouvernance de l'IA ce qu'ISO/IEC 27001 fait pour la sécurité de l'information : évaluation des risques liés aux cas d'usage de l'IA, responsabilité définie pour les décisions de l'IA, contrôles sur les données auxquelles les systèmes d'IA peuvent accéder et surveillance des résultats dans le temps.

Cela est particulièrement important pour un partenaire, car celui qui configure l'IA dans votre portail prend des décisions de gouvernance en votre nom : quelles fonctionnalités d'IA sont activées.

À quels enregistrements elles peuvent accéder. Quelle vérification humaine intervient avant la diffusion d'un résultat généré. Si une décision assistée par l'IA laisse une piste d'audit. La certification prouve que ces décisions sont prises dans un cadre audité plutôt qu'au cas par cas.

Huble est certifié ISO/IEC 42001:2023. Cette certification couvre la manière dont nous gouvernons l'IA dans nos propres prestations et dans les environnements HubSpot que nous construisons pour nos clients.

Pour en savoir plus sur la manière dont HubSpot sécurise les données utilisées par ses fonctionnalités d'IA, consultez Sécurité de l'IA HubSpot : ce que les CTO et CIO doivent savoir. Pour découvrir où l'IA produit réellement des résultats à l'échelle de l'entreprise et la préparation des données qu'elle exige, découvrez comment les équipes des grandes entreprises utilisent l'IA dans HubSpot.

Renforcer la sécurité et la conformité dans votre environnement HubSpot

HubSpot vous fournit les contrôles ; la gouvernance est ce qui les transforme en une posture de sécurité et de conformité défendable.

Si vous êtes responsable de cette posture, un examen structuré est le moyen le plus rapide d'identifier les lacunes : rôles disposant de permissions excessives, pistes d'audit manquantes, changements non gouvernés ou exposition réglementaire que vous ne pouvez pas encore documenter.

Découvrez notre approche en matière de sécurité et de conformité, ou échangez avec notre équipe pour examiner et renforcer votre environnement HubSpot.

Qu'est-ce qu'ISO/IEC 42001 et pourquoi est-ce important pour un partenaire HubSpot ?

ISO/IEC 42001:2023 est la norme internationale pour un système de management de l'IA, l'équivalent pour l'IA de ce qu'ISO/IEC 27001 fait pour la sécurité de l'information.

Elle certifie qu'une organisation gouverne son utilisation de l'IA au moyen d'un cadre audité de manière indépendante : évaluation des risques liés aux cas d'usage, responsabilité définie, contrôles sur les données auxquelles les systèmes d'IA peuvent accéder et surveillance continue des résultats. Pour un partenaire HubSpot qui active des fonctionnalités d'IA dans votre portail, c'est une preuve externe que ces décisions s'inscrivent dans un système de management.

Huble est certifié ISO/IEC 42001:2023.

Quelles certifications ISO Huble détient-il ?

Huble est certifié ISO/IEC 27001:2022 pour la gestion de la sécurité de l'information, ISO 9001:2015 pour la gestion de la qualité, et ISO/IEC 42001:2023 pour la gestion de l'IA. Les trois font l'objet d'un audit indépendant.

HubSpot est-il conforme au RGPD ?

HubSpot fournit les outils nécessaires pour exploiter un CRM conforme au RGPD : gestion du consentement et des abonnements, traitement des demandes des personnes concernées et contrôles de conservation et de suppression des données. Toutefois, la conformité dépend en fin de compte de la manière dont vous configurez et gouvernez la plateforme, la responsabilité du traitement des données personnelles vous incombant en tant que responsable du traitement.

HubSpot prend-il en charge la conformité HIPAA ?

HubSpot propose des fonctionnalités contribuant à la conformité HIPAA pour les comptes Enterprise éligibles correctement configurés, et peut conclure un accord de type Business Associate le cas échéant.

L'éligibilité et les conditions de configuration sont déterminantes ; confirmez les conditions en vigueur auprès de HubSpot avant de stocker des informations de santé protégées.

Les données dans HubSpot sont-elles chiffrées ?

Oui. HubSpot chiffre les données en transit et au repos, et exige que les champs hautement sensibles soient déchiffrés avant de pouvoir être consultés ou modifiés, ajoutant une barrière supplémentaire contre l'exposition involontaire.

HubSpot propose-t-il des sauvegardes de données ?

Les super administrateurs peuvent créer des sauvegardes CRM à la demande, et des sauvegardes récurrentes planifiées sont disponibles pour les comptes Enterprise. Celles-ci se concentrant sur les enregistrements plutôt que sur les métadonnées telles que les workflows et les automatisations, de nombreuses entreprises ajoutent des sauvegardes indépendantes hors site pour une couverture complète.

Qu'est-ce que le modèle de responsabilité partagée HubSpot ?

HubSpot sécurise la plateforme et son infrastructure ; le client est responsable de la gestion des accès, de la configuration et de la manière dont les données sont classifiées, conservées et gouvernées.

La plupart des incidents évitables proviennent du côté client de cette ligne de partage.

Pourquoi les certifications ISO sont-elles importantes lors du choix d'un partenaire HubSpot ?

Un partenaire disposant d'un accès privilégié à vos systèmes élargit votre propre surface de risque. ISO/IEC 27001:2022, ISO 9001:2015 et ISO/IEC 42001:2023 constituent des preuves auditées de manière indépendante que le partenaire applique des processus contrôlés de sécurité, de qualité et de gestion de l'IA, ce qui raccourcit la vérification préalable des fournisseurs et réduit les risques de mise en œuvre.