EC2 インスタンス上で動作する顧客アプリケーションのコードに含まれるセキュリティ脆弱性をパッチ適用する責任は誰にありますか。