ある企業は AWS Control Tower を使用してマルチアカウント AWS 環境を構築しています。セキュリティチームは以下の要件を実装する必要があります：(1) すべてのメンバーアカウントに CIS（Center for Internet Security：インターネットセキュリティのベストプラクティス標準を策定する非営利組織）AWS Foundations Benchmark に基づく AWS Config ルールを自動展開し継続的に維持する、(2) アカウントチームはこれらのベースライン Config ルールを削除・無効化できない、(3) Control Tower の Account Factory で新しいアカウントがプロビジョニングされた際に GuardDuty・Security Hub などのセキュリティツールが自動的に有効化される、(4) セキュリティ専用アカウントのチームが、メンバーアカウントチームの関与なしにセキュリティツールをすべてのアカウントに展開・管理できる。これらの要件を最も効果的に満たす 2 つのアクションはどれですか？（2 つ選択）
SCP で config:DeleteConfigRule・config:DeleteConformancePack・config:StopConfigurationRecorder・config:DeleteConfigurationRecorder 等の操作を組織レベルで拒否することで、アカウントチームによるベースライン Config ルールの削除・無効化を確実に防止します（要件2）。CloudFormation StackSets のデリゲート管理者としてセキュリティアカウントを登録し SERVICE_MANAGED モードで展開することで、新規アカウントへの自動適用とセキュリティチームによる一元管理を実現します（要件1・3・4）。 選択肢Aの SELF_MANAGED モードでは新規アカウントへのスタックインスタンスを手動追加する必要があり、自動展開ができないため不適切です。 選択肢Bの Control Tower AFC は有用ですが、SCP なしでは要件2（ルール削除防止）を満たせません。 選択肢Cはアカウントチームによるカスタマイズを許容しており、要件2（ルール削除・無効化禁止）を満たしません。