メール配信サービスのセキュリティは何を確認？二要素認証・操作ログ・保管場所

2026年10月24日2026年11月7日

メール配信サービスには、顧客や会員のメールアドレス、名前、開封やクリックの履歴といった情報を預けることになります。会社で導入する場合は、情報システムの担当者や上司からセキュリティは大丈夫かと聞かれることも多いでしょう。ところが、何を確かめれば大丈夫と言えるのかは、意外と整理されていません。

この記事では、Cuenote FC（ユミルリンク株式会社）、SendGrid（構造計画研究所の国内向けプラン）、Benchmark Email、配配メール（株式会社ラクス）の公式ページとサポート記事を直接読み、第三者認証、ログインの守り（二要素認証・アクセス制限）、操作ログと権限、データの保管場所、送信の暗号化の5つの観点で比べます。最後に、社内で導入を相談するときに使えるチェック表を当サイトで作りました。

どのサービスが安全かを判定する記事ではありません。各社のページに書かれていることだけを並べ、書かれていないことは記載なしとして扱います。内容は2026年10月23日〜24日に各ページを取得して確認した時点のものです。実際の導入では、各社のセキュリティ資料やチェックシートの提供を依頼して確かめてください。

先に結論｜ログインの守り、操作の記録、データの置き場所を先に聞く

Cuenote FCは、ISMS認証・ISMSクラウドセキュリティ認証・プライバシーマーク・ASP・SaaSの安全・信頼性に係る情報開示認定を取得し、日本国内データセンターを採用していると記載。
Cuenote FCは、二要素認証（ワンタイムパスワード）、IPアドレスによる管理画面へのアクセス制限、権限管理、操作ログの記録、パスワードポリシーの設定を機能として挙げている（料金プランの比較ではワンタイムパスワード認証はオプション）。
SendGridは、二要素認証の設定が必須で無効化できない。IP Access Managementでアクセス元を制限できるが、操作ログを確認・取得する機能はないと明記。
Benchmark Emailは、日本のお客様の連絡先データ・メールコンテンツ・開封などの行動履歴を国内サーバーで保管。一方、ログイン情報・請求情報・CSVインポート支援機能などは米国のサーバーと明記。
配配メールは、運営会社がプライバシーマークを取得していると記載。料金ページでは、ログインの守りやデータの保管場所の記載は見当たらなかった。
送信の暗号化は、SendGridがTLS 1.2以上とSTARTTLS、Cuenote FCがSSL/TLSの管理画面とSTARTTLSに対応と記載。

5つの観点で一覧比較

観点	Cuenote FC	SendGrid	Benchmark Email	配配メール
第三者認証	ISMS認証、ISMSクラウドセキュリティ認証、プライバシーマーク、ASP・SaaS認定	確認したページに記載なし	確認したページに記載なし	プライバシーマーク（運営会社）
二要素認証	二要素認証（ワンタイムパスワード）	必須（無効化できない）	確認したページに記載なし	確認したページに記載なし
アクセス元の制限	IPアドレスによる管理画面へのアクセス制限	IP Access Management	確認したページに記載なし	確認したページに記載なし
操作ログ	操作ログの記録	操作ログを確認・取得する機能はありません	確認したページに記載なし	確認したページに記載なし
データの保管場所	日本国内データセンター	確認したページに記載なし	連絡先データ等は国内サーバー、ログイン情報等は米国	確認したページに記載なし
送信の暗号化	STARTTLS対応、管理画面はSSL / TLS	TLS 1.2以上、STARTTLS	確認したページに記載なし	確認したページに記載なし

表で、確認したページに記載なしとしたものは、対応していないという意味ではありません。たとえばBenchmark Emailや配配メールにも、別のページや資料に記載がある可能性があります。記載がない項目こそ、申し込む前に問い合わせるべき項目だと考えてください。以下、観点ごとに原文を見ていきます。

観点①｜第三者認証

Cuenote FCのセキュリティのページは、品質向上のために国内外に評価される第三者認定も取得している、として3つを挙げています。情報セキュリティマネジメントシステム（ISMS）における規格として、ISMS認証【JIS Q 27001：2014（ISO/IEC 27001：2013）】ならびにISMSクラウドセキュリティ認証【ISO/IEC 27017：2015】を取得。プライバシーマークにおける個人情報保護マネジメントシステムの構築・運用について適切な措置を講じている。そして、ASP・SaaSの安全・信頼性に係る情報開示認定制度【認定0118-1102号】で、総務省が定めた情報セキュリティ対策ガイドラインと情報開示指針にもとづき、高い安全性と信頼性を備えているクラウドサービスであると第三者から審査・認定されている、と説明しています。

配配メールの料金ページには、株式会社ラクスは、プライバシーマークを取得しています、と書かれています。運営会社は東証プライム上場企業である株式会社ラクスである、とも紹介されています。SendGridとBenchmark Emailについては、確認したページに第三者認証の記載はありませんでした。

第三者認証は、会社の情報管理の仕組みが一定の基準で審査されていることを示すもので、個々の機能の安全性を直接示すものではありません。社内の基準で特定の認証を求めている場合は、認証の範囲（会社全体か、そのサービスか）も合わせて確かめる必要があります。

観点②｜ログインの守り（二要素認証・アクセス制限）

メール配信サービスの管理画面に不正にログインされると、顧客リストを抜き取られたり、なりすましのメールを送られたりするおそれがあります。ログインをどう守れるかは、最初に確かめたい点です。

SendGrid｜二要素認証は必須

SendGridのサポート記事「二要素認証に対応していますか？」は、はい、対応しています、と答え、SendGridの利用には二要素認証の設定が必須であり、無効化することはできません、と書いています。親アカウントは認証アプリもしくはメールで認証し、サブユーザ、Teammateは、AuthyもしくはSMSで認証します。必須化のお知らせによると、2026年3月25日(水) 18時頃にマイページログイン時の二要素認証を必須化しました。認証アプリは、設定方法のページのとおり、Authy、Google認証システム、Microsoft Authenticator等のTOTP方式に対応した認証アプリが必要で、SMSによる二要素認証には対応していません（マイページの場合）。

アクセス元の制限として、料金ページの機能一覧にはIPアドレスでのアクセス制限（IP Access Management）が並んでいます。シングルサインオン（SSO）はProプランの機能で、Essentialsプランでは使えません。

Cuenote FC｜ワンタイムパスワードとIPアドレス制限

Cuenote FCのセキュリティのページは、不正利用を防ぐためのセキュリティ機能として、IPアドレスによる管理画面へのアクセス制限（複数指定もできるため委託会社等も許可できる）、二要素認証（ワンタイムパスワード）、パスワードの有効期間やパスワードの複雑性などを設定できるパスワードポリシーを挙げています。ワンタイムパスワードのページでは、管理画面にログインする際にセキュリティトークンを利用することで二要素認証を実現でき、従来のログインID・パスワードに加え、トークンのボタンを押して生成されたワンタイムパスワードをログイン画面に入力する、と説明しています。

ただし、Cuenote FCの料金プランのページの機能比較では、ワンタイムパスワード認証は「オプション／通信要件あり」とされています。機能として用意されていても、基本料金に含まれるとは限らないので、見積もりの段階で確かめておきます。

Benchmark Emailと配配メールについては、確認したページに二要素認証やアクセス制限の記載はありませんでした。なお、Benchmark Emailのデータ保管のページには、ログイン情報(Auth0)が米国サーバーで保管されるものとして挙げられています。

観点③｜操作ログと権限管理

担当者が複数いる場合や、配信を外部の会社に委託する場合は、誰が何をしたかを後から確かめられるか、個人情報を見られる人を絞れるかが重要になります。

Cuenote FCのセキュリティのページは、個人情報を守るためのセキュリティ機能として、個人情報を扱える担当者を権限管理し、個人情報漏洩を抑制できること、上長承認でメール配信できるようになる承認フローも可能なこと、いつ誰が何を行ったのか操作ログを記録し、確認できることを挙げています。操作ログは、内部漏洩や操作ミス等が発生した場合の原因特定や再発防止に役立てられる、と説明されています。APIアカウント毎に個人情報へのアクセス許可やマスクを設定できる、とも書かれています。

SendGridは、アクセスログや操作ログのページで、IP Access Management機能の「Recent Access Attempts」で、アカウントにアクセスを試みたIPアドレスと関連する情報を確認することができる一方、操作ログを確認・取得する機能はない、米国SendGridならびに構造計画研究所でもログの提供は一切行っていない、とはっきり書いています。社内規程で管理画面の操作ログの保存を求めている場合、SendGridではその要件を満たせないことになります。権限の面では、複数メンバーでのアカウント共有とその管理（Teammate）があり、作成できる数はEssentialsが3つまで、Proが1,000までです。

Benchmark Emailの料金ページでは、複数ユーザーの追加（1件につき1,900円/月）が有料プランで可能とされていますが、ユーザーごとの権限や操作ログについての記載は、確認したページにはありませんでした。

観点④｜データの保管場所

預けたデータが国内のサーバーに置かれるのか、海外なのかは、社内規程や取引先との約束で問われることがあります。Benchmark Emailは、地域別のデータ保管のページで、日本のお客様のデータは、国内サーバーで保管、と案内したうえで、どのデータがどこに置かれるかを具体的に書いています。

保管場所	Benchmark Emailのページに挙げられているもの
日本国内サーバー	すべての連絡先データ（メールアドレス、登録した項目、開封などの行動履歴）
日本国内サーバー	メールコンテンツ（送信されたメールの内容）
日本国内サーバー	リンククリック、メール開封、配信停止の処理情報
米国サーバー	ログイン情報(Auth0)
米国サーバー	スマートコンテンツ機能（OpenAI を使用した機能）
米国サーバー	CSVインポート支援機能
米国サーバー	製品分析ツール (Google Analytics など)
米国サーバー	画像ギャラリー（国内サーバーへ移管予定）
米国サーバー	請求情報 (Stripe)

一部の基本サービスや外部連携機能は、リージョンに関係なく米国のサーバーでホスティングされる、と書かれています。連絡先データは国内でも、CSVインポート支援機能やAIを使う機能を使うと米国のサーバーを通る可能性がある、と読めるので、どの機能を使うかも含めて確かめます。

Cuenote FCは、セキュリティのページで、日本国内データセンターを採用し、ハイレベルな安全設備で物理的セキュリティ・災害対策・監視カメラ等で運用・監視・保守している、と説明しています。料金ページのよくある質問でも、当社が定める基準を満たす国内データセンターを採用し、サーバー・アプリケーションの構築・開発・運用は全て自社で行っているので、特に個人情報の第三者委託が一切発生しない、と書かれています。SendGridと配配メールについては、確認したページにデータの保管場所の記載はありませんでした。

観点⑤｜送信の暗号化と、なりすまし対策

SendGridは、TLSのページで、TLS 1.2以上に対応しており、SMTPやAPIを利用したメール送信時の通信を暗号化できる、STARTTLSにも対応しているため、送信先のメールサーバがTLSに対応しているかどうかに応じて、通信方式をTLSによる暗号化通信へ自動的に切り替えることが可能、と説明しています。Cuenote FCは、管理画面、WEBフォームは、すべて SSL / TLS により暗号化された通信を採用し、メール送信サーバーのSTARTTLSに対応している、と書いています。

受信者をなりすましメールから守る仕組みとして、Cuenote FCはDKIM、SPFに標準対応し、金融機関採用のS/MIMEにも対応可能と記載しています。送信ドメインの認証は、Gmailの送信者ガイドラインでも求められている要件です。詳しくは当サイトのGmailの送信者ガイドラインの記事で整理しています。Cuenote FCは、特定電子メール法で義務付けられている、メールマガジン等の受信者側の配信の同意を取得した記録を保管することが標準で可能（マイページ機能ご利用時）、とも書いています。オプトインの考え方は特定電子メール法の記事で扱っています。

観点⑥｜障害への備えとバックアップ

セキュリティの相談では、情報が漏れないかだけでなく、止まらないか、消えないかも聞かれます。Cuenote FCのセキュリティのページは、インフラ・ファシリティのセキュリティ対策として、震度6以上の耐震構造と冗長化された回線・ネットワーク機器・サーバー・電源、データセンターでのストレージの冗長化等による日次7世代分のバックアップの保管、サーバーおよびネットワークの24時間365日の監視体制を挙げています。クラウドサービスの稼働率は2018年以降99.99%、とも書かれています。

外部からの攻撃に対する対策としては、IPS（不正侵入防止システム）での検知・遮断とファイアウォール、アプリケーションの脆弱性対策とネットワーク脆弱性診断の定期的な実施、各種サーバーや操作環境へのウイルス対策ソフトの導入（ウイルス感染やシステム汚染を未然に防止）、ペネトレーションテスト（擬似的な攻撃）やポートスキャン等の診断が挙げられています。内部対策として、サーバーにアクセスする保守専用端末を設け、限られた専任担当者が操作をおこない、操作ログは厳密に保存・管理される、という記載もあります。

SendGrid、Benchmark Email、配配メールについては、確認したページにバックアップの世代数や稼働率の記載はありませんでした。障害が起きたときの連絡方法や、データを復元できる範囲は、資料やサービスレベルの説明で確かめておきたい点です。

社内で相談するときのチェック表（当サイト作成）

ここまでの観点を、導入の相談で使える質問の形にまとめました。右の列は、確認したページに書かれていた範囲での状況です。空欄の部分は、資料請求や問い合わせで埋めていく想定です。

質問	Cuenote FC	SendGrid	Benchmark Email	配配メール
管理画面の二要素認証を必須にできるか	ワンタイムパスワード（料金表ではオプション）	必須	要確認	要確認
アクセス元のIPアドレスを制限できるか	できる	できる（IP Access Management）	要確認	要確認
誰が何をしたか、操作ログが残るか	残る	操作ログの機能はない	要確認	要確認
個人情報を見られる担当者を絞れるか	権限管理・承認フロー	Teammate（Essentialsは3まで）	要確認	要確認
連絡先データはどこの国に保管されるか	日本国内データセンター	要確認	日本国内（一部機能は米国）	要確認
第三者認証は何を持っているか	ISMS・Pマーク・ASP/SaaS認定	要確認	要確認	プライバシーマーク（運営会社）

料金の比べ方はメール配信サービスの料金の記事、システムメールとメルマガの送り分けはAPI・SMTPと一斉配信の記事にまとめています。セキュリティの条件で候補を絞ってから料金を比べると、あとから条件を満たさないことがわかって選び直す、という手戻りを減らせます。

申し込む前のチェックリスト

社内規程で求められている条件（二要素認証、操作ログの保存期間、データの保管国、第三者認証など）を書き出したか。
候補のサービスで、その条件が公式ページや資料に書かれているか。書かれていないものを問い合わせたか。
二要素認証やアクセス制限が、基本料金に含まれるか、オプションか。
担当者ごとの権限を分けられるか。委託先の会社に作業を頼む場合の権限とアクセス元の扱いを決めたか。
データの保管場所について、連絡先データだけでなく、ログイン情報や使う予定の機能（CSVの取り込み、AI機能など）まで確かめたか。
配信の同意（オプトイン）の記録をどこに残すか決めたか。

この記事の確認範囲について

内容は2026年10月23日〜24日に各社の公式ページとサポート記事を取得して確認した時点のものです。Benchmark Emailのデータ保管のページは、ブラウザで表示した本文を取得しました。
表の記載なし・要確認は、確認したページに書かれていなかったという意味で、対応していないという意味ではありません。
各サービスの安全性を当サイトが検証・評価したものではありません。
SendGridと配配メールのデータ保管場所、SendGrid・Benchmark Emailの第三者認証は未確認です。

出典（公式ページ）

よかったらシェアしてね！

URLをコピーしました！

URLをコピーしました！