GuardDutyがEC2インスタンスからの不審な通信を検出した。自動的にそのインスタンスを隔離セキュリティグループに移動させるためのワークフローとして正しいものはどれか。

AWS OrganizationsのSCP（サービスコントロールポリシー）を使用して、特定のリージョン（例：東京、大阪）以外でのリソース作成を禁止したい。ただし、IAMやRoute 53などのグローバルサービスは除外する必要がある。ポリシーの条件句に何を指定すべきか。