【正解】B
【0からの解説】
本問の要件を分解すると、(1) プライバシー基準への準拠、(2) 安全なモデル I/O（通信の保護）、(3) FM のアクセスパターンの制御（誰がどのモデルをどう使えるか）、(4) 「誰が・いつ・何に」アクセスしたかの監査、の 4 点です。それぞれに対応する AWS の仕組みは次のとおりです。
・VPC エンドポイント（AWS PrivateLink）：Bedrock への API 呼び出しをインターネットを経由しない閉域経路にし、モデル I/O を保護します。
・IAM の ABAC（属性ベースのアクセス制御）と条件キー：Bedrock には bedrock:GuardrailIdentifier や呼び出し対象モデルを制限する条件キーがあり、「特定の部門は特定のモデルを特定のガードレール付きでしか呼べない」というアクセスパターンの制御をポリシーで強制できます。
・AWS CloudTrail の管理イベント＋データイベント：S3 オブジェクトの読み書きや KMS キーの使用まで含めて「誰が・いつ・何に」を記録します。CloudTrail Lake は監査ログの長期保存と SQL 分析を提供します。
【B が正解の理由】
B は上記 4 要件のすべてに対応しています。特に「FM のアクセスパターンの制御」を IAM 条件キー（GuardrailIdentifier / ModelId の強制）で、「誰が・いつ・何に」の監査を CloudTrail のデータイベント＋S3 サーバーアクセスログ＋CloudTrail Lake で実現しており、最も網羅的かつ要件に忠実です。
【誤りの選択肢】
A：ガードレールとトレースは有用ですが、「FM のアクセスパターンの制御」に必要なアクセス制御（IAM）の仕組みがありません。また CloudWatch Logs へのトレースのエクスポートは「誰が・いつ・何に」というユーザー単位の監査記録としては不十分です（CloudTrail のような ID ベースの API 監査が必要です）。
C：暗号化とアクセスログはありますが、IAM によるアクセスパターン制御と CloudTrail による API レベルの監査（誰が・いつ）が欠けています。AWS Config はリソース構成の変更追跡であり、アクセスの監査ではありません。
D：CloudTrail Insights と Macie は「異常検出」と「データ分類」のためのもので、FM へのアクセスパターンを事前に制御する仕組み（IAM）がありません。また Macie は S3 内のテキストデータの機密情報検出が主目的で、動画アーカイブの分類には適しません。
【参考】
Amazon Bedrock と AWS PrivateLink（VPC エンドポイント）Amazon Bedrock の IAM 条件キーAWS CloudTrail Lake