ある製薬企業は、新薬研究データや臨床試験の患者個人情報（PII）を含む機密データをAWS上に保存しています。現在、30のAWSアカウントをAWS Organizationsで管理しており、研究開発・QA・本番環境に分かれています。CISOからZero Trustセキュリティアーキテクチャの実装が指示され、以下の要件が課されました。 ①S3バケット内のPIIおよび知的財産の自動検出・分類 ②全アカウントにわたるセキュリティ検出結果の集中管理と可視化 ③GuardDutyの検出結果に基づくEC2インスタンスの自動ネットワーク隔離 ④SOC2およびGxP（医薬品・医療機器業界の適正業務基準）規制へのコンプライアンス自動検証と証跡保持 ⑤EC2インスタンスおよびECRコンテナイメージの継続的脆弱性スキャン 上記要件を最小限の運用オーバーヘッドで充足するアーキテクチャはどれですか？
Amazon MacieはAWS Organizations全体のS3バケットを自動スキャンし、200以上のマネージドデータ識別子でPIIや知的財産を検出・分類する（要件①）。Security HubをOrganizations委任管理者（通常はセキュリティ専用アカウント）として設定すると全アカウントの検出結果が集約され、FSBPやPCI-DSS標準でセキュリティ状態を評価できる。Config RulesのGxP Systems適合パックとSOC2ベストプラクティスパックはコンプライアンス違反を自動検出しSSM Automationで是正・証跡を保持する（要件②④）。GuardDutyをOrganizationsレベルで有効化すると新規アカウントも自動登録され、VPCフローログ・DNS・CloudTrailを統合解析して脅威を検出し、EventBridgeとSSM AutomationでセキュリティグループをIsolation専用SGに変更してEC2を自動隔離できる（要件③）。Inspector v2はSSMエージェント経由でEC2を継続スキャンし、ECRへのプッシュ時にもイメージを自動スキャンする（要件⑤）。 選択肢BのS3 Object Lockはデータ改ざん防止に有効だが、PII検出・脅威検出・脆弱性スキャン機能がなく要件①③ ⑤を満たさない。GuardDutyを30アカウントに個別設定する運用コストも高く、Trusted AdvisorはSOC2/GxP詳細検証機能を持たない。 選択肢CのWAFとShield Advancedは外部Webアプリケーション攻撃防御に特化しており、内部脅威検出・データ分類・脆弱性管理には機能しない。DetectiveはGuardDuty検出後の調査ツールであり能動的な脅威検出は行わない。 選択肢DのSecurity Hub個別設定では組織横断の集中管理ができず、Inspector v1は2023年末にサポート終了しECRイメージスキャンに非対応。Macieのスタンドアロン設定はOrganizations全体のS3を一元管理できない。