【正解】D
【0からの解説】
①前提知識：セキュリティ調査ツール（［セキュリティ］＞［セキュリティ センター］＞［調査ツール］）では、「ドライブのログイベント」をデータソースとして、イベント名（共有設定の変更、公開設定の変更など）、公開設定（外部と共有、リンクを知っている全員など）、アクター（操作したユーザー）、ドキュメント名・ID、期間などの条件で過去のアクティビティを検索・分析できます。検索結果から、誰がどのファイルを誰と共有したかを一覧で把握し、必要に応じて共有権限の変更などの対処も行えます。
②要件の整理：すでに発生した不正な社外共有について、(1) 責任のあるユーザーを特定し、(2) 共有の範囲（どのファイルがどこまで共有されたか）を把握することが求められています。将来の防止策ではなく、過去の事象の調査です。
③正解の理由：調査ツールでドライブのログイベントを「公開設定 = 外部」などの条件で検索すれば、共有を行ったユーザー、対象ファイル、共有先、日時を特定でき、不正共有の範囲を明らかにできます。要件である「誰が」「どこまで」の両方に直接答えられる唯一の選択肢です。
【誤りの選択肢】
A：アクティビティ ルールは「今後」発生するイベントを検出・通知するもので、すでに行われた共有の責任者や範囲を特定できません。再発防止策としては有用ですが、今回の要件を満たしません。
B：セキュリティの状況ページは、組織の設定が Google の推奨と比べて安全かどうか（構成のリスク）を示すもので、個々のユーザーの共有行為やファイル単位の共有状況は分かりません。
C：共有ポリシーを見直して社外共有を制限するのは今後の防止策であり、すでに行われた不正共有の責任者や範囲の特定にはなりません。調査で状況を把握した後に検討すべき対応です。
【参考】
セキュリティ調査ツールについて | Security & data protectionセキュリティ調査ツールのデータソース | Security & data protection監査と調査ツールで検索を実行する | Reports & monitoring