ある企業が、Amazon ECR（Elastic Container Registry）に保存されているコンテナイメージに含まれる OS の脆弱性を継続的にスキャンしたい。新しいイメージがプッシュされるたびに自動的にスキャンし、CRITICAL の脆弱性が発見された場合は CI/CD パイプラインの実行をブロックしたい。最も適切なソリューションはどれか。

1. A. ECR の拡張スキャン（Enhanced Scanning）を有効化する（Amazon Inspector と統合）。イメージプッシュ時に自動スキャンが実行され、CRITICAL 脆弱性の発見時に EventBridge イベントが発火する。CI/CD パイプライン（CodePipeline 等）にスキャン結果チェックのステップを追加し、CRITICAL がある場合はパイプラインを失敗させる。
2. B. Docker イメージのベースイメージを最新版に毎月更新することで脆弱性を管理する。
3. C. Amazon GuardDuty でコンテナの実行時異常を検知して ECR の脆弱性に対応する。
4. D. 手動で Docker イメージのセキュリティスキャンを週次で実行し、レポートをセキュリティチームに送付する。