ある人材サービス企業は、Cloud NGFW ポリシーへの移行を進めている。新ポリシーには細かい拒否ルールを入れたが、検証環境で拒否したい通信が通ってしまう。VPC ファイアウォールルール側には、移行前から広い範囲を許可するルールが残っている。ルールを評価する層の先後の設定は既定のままである。新ポリシーは、global network firewall policy として VPC に関連付けてある。この状況についての正しい説明はどれか。