プライベートサブネットのセキュリティ(外部からの侵入を防ぐ)は、何によって保証されているのでしょうか。

ネットワークACLやセキュリティグループといったファイヤーウォール機能によって対策を行う形になります。