広告会社では、開発者が検証用のバケットを誤って公開してしまう事故が2回起きた。セキュリティ部門は、プロジェクトごとに IAM のロールを点検する運用ではなく、組織全体で、そもそもバケットが公開できない状態を作りたいと考えている。設定すべき組織ポリシーの制約はどれか。