ある企業の CISO（Chief Information Security Officer：最高情報セキュリティ責任者）は、AWS Organizations で管理する 60 個のアカウントにわたるセキュリティ態勢の可視化と自動対応基盤の構築を指示しました。要件：(1) すべてのアカウントの脅威検知アラートと設定不備の検知結果（Finding）を単一のセキュリティアカウントに集約する、(2) Organizations に新しいアカウントが追加された場合、人手の介入なしにセキュリティツールが自動的に有効化される、(3) セキュリティアカウントのチームが個別アカウントチームの承認なしに全アカウントのセキュリティ設定を管理できる、(4) 重大度 HIGH・CRITICAL の検知結果が発生した場合に影響を受けたリソースに自動修復アクションを実行する、(5) PCI-DSS（Payment Card Industry Data Security Standard：クレジットカード業界のデータセキュリティ標準）および CIS AWS Foundations Benchmark に対するコンプライアンス状況をダッシュボードで継続的にレポートする。最小運用オーバーヘッドでこれらの要件を満たすアーキテクチャはどれですか？
GuardDuty・Security Hub の Organizations 統合と委任管理者機能により単一セキュリティアカウントからの一元管理・検知結果集約が実現する。自動有効化設定により新規アカウント追加時の人手不要な有効化が保証される。委任管理者はメンバーアカウントの個別承認なしにセキュリティ設定を管理できる。Security Hub の組み込みセキュリティ基準（PCI-DSS・CIS）は継続的なコンプライアンスダッシュボードを提供する。EventBridge → Step Functions/Lambda による自動修復がリアルタイム対応を実現する。 選択肢Aは各アカウントへの個別有効化が必要で運用負荷が高く、新規アカウントの自動有効化もないため要件を満たせません。 選択肢Cは Control Tower の Account Factory による自動適用は可能だが、セキュリティインシデントへの対応に S3+Athena 経由の Lambda トリガーを用いるため遅延が大きくリアルタイム自動修復に不向きであり、Config コンフォーマンスパックは PCI-DSS・CIS 適合確認に使えるものの Security Hub の組み込みダッシュボードのような継続的可視化機能には劣ります。 選択肢D は Trusted Advisor がリアルタイム脅威検知を提供せず、EventBridge スケジュールルールによるポーリング型ではリアルタイム自動修復を実現できません。