ぶっちゃけ、Debianでサーバ立てても(samba、apache2 など)
社内(イントラ内)だったらパッケージアップデートしなくてほったらかし。

外向けだったら、sshd だけは更新するかな。
あと Apache2 とか php がセキュリティフィックスされたら、それも。
ようするに外とやり取りするプログラム以外ほったらかし。

だめっすか？w