セキュリティグループとネットワークACL（NACL）の主な違いに関する記述として正しいものはどれですか。

AWS OrganizationsのSCP（サービスコントロールポリシー）を使用して、メンバーアカウントのrootユーザーを含むすべてのプリンシパルに対してCloudTrailの無効化を禁止したい。SCPはどこに適用すべきですか。