解説

バックアップを専用アカウントにクロスアカウントコピーしてVault Lock（コンプライアンスモード）を設定するのが最も効果的です。Vault Lockのコンプライアンスモードはクーリングオフ期間終了後、ルートユーザーやAWSサポートを含む誰もバックアップを削除・変更できなくなります。選択肢Aの本番アカウント内Vault Lockも技術的には有効ですが、本番アカウント自体が侵害された場合でも影響を受けない完全なアカウント分離の観点で選択肢Bが最も効果的な多層防御を実現します。SCPs（選択肢C）はOrganizations管理アカウントによって変更可能なため単体では最強の保護になりません。KMS暗号化（選択肢D）はデータの機密性を守るものであり、削除からの保護にはなりません。