【正解】A
【0からの解説】
①前提知識
・Security Command Center（SCC）のセキュリティ ポスチャー サービスでは、「ポスチャー」（YAML のポスチャー ファイルとして定義するポリシーの集合）を作成し、組織・フォルダ・プロジェクトにデプロイ（適用）できます。ポスチャーには次の2種類のポリシーを含められます。
- 予防用: 組織のポリシーの制約（事前定義の制約とカスタム制約）。違反する構成変更そのものを拒否します。
- 検出用: Security Health Analytics（SHA）の検出器（事前定義の検出器とカスタム モジュール）。違反している構成を検出結果として報告します。
・CIS Google Cloud Computing Platform Benchmark、NIST SP 800-53、ISO 27001、PCI DSS などのコンプライアンス標準に対応した事前定義のポスチャー テンプレートが用意されており、これに社内独自のカスタム ポリシーを追加できます。さらにデプロイ後にポスチャーからの逸脱（ドリフト）が起きると、SCC の検出結果として報告されます。セキュリティ ポスチャー サービスは SCC の Premium ティア（または Enterprise ティア）で利用できます。
②要件と制約語の整理
・対象は特定のフォルダ。
・構成ミスを「防止」し、かつ「検出」する（予防と検出の両方）。
・「業界固有のコンプライアンス ポリシー」と「社内独自のポリシー」の両方を遵守する。
③正解の理由
A のポスチャーは、事前定義のポリシー（業界標準のテンプレート）とカスタム ポリシー（社内独自のルール）を1つのポスチャー ファイルにまとめ、組織のポリシーで「防止」、SHA の検出器で「検出」を同時に実現し、フォルダ レベルにデプロイできます。ドリフトの検出により継続的なセキュリティ管理にもなります。すべての要件を1つのマネージドな仕組みで満たすのは A だけです。
【誤りの選択肢】
B：カスタムの組織のポリシーは構成ミスの「防止」には有効ですが、既存のリソースの構成ミスを継続的に「検出」する仕組みではありません。また社内のビジネス要件だけを対象にしており、業界固有のコンプライアンス ポリシー（事前定義の標準）への準拠をカバーしていません。
C：Assured Workloads は、FedRAMP、ITAR、データ主権などの規制に必要なデータ所在地や担当者のアクセス制御などを、コントロール パッケージとしてフォルダに適用する仕組みです。業界規制への対応には役立ちますが、社内独自のポリシーを定義して構成ミスを防止・検出する機能ではなく、要件の一部しか満たしません。
D：Workload Manager は SAP などのワークロードのベスト プラクティス評価や、Rego で書いたカスタムルールによるリソース構成の定期評価ができるサービスですが、行えるのは評価（検出）だけで、違反する構成変更を「防止」することはできません。業界標準の事前定義テンプレートを予防・検出の両面で適用できるポスチャーに比べて要件を満たしません。
【参考】
セキュリティ ポスチャーの概要 | Security Command Centerセキュリティ ポスチャーを管理する | Security Command Center