Разработка идеологии политики обновлений для ОС: нужно ли и как часто?
Весьма сложный вопрос, точнее сложен ответ. Сложен не столько трудностью, сколько богатством выбора, т.е. вариантами, в зависимости от условий.
Можно обновлять тестовую машину, а в идеале, ещё и не одну, затем проверять на них обновление, затем, если не найдено косяков критичных для работы - "раскатывать" по нормальным машинам, а в идеале по группам машин, да не по всем сразу. За одним создавать пропатченный (обновлённый) дистрибутив для будущего развёртывания, а лучше несколько, для разных конфигураций и один - чистый, без настроек.
И это самая малость, даже за ответ можно не считать. Вариантов ещё несколько, но описывать каждый нужно исходя из условий, которые в вопросе не отражены.Поставили и настроили необходимый софт.
И тут же сделать образ или бэкап для "чистового" развёртывания. Чтоб не приходилось по новой делать те же операции.
Подытожу:
1. После настройки рабочего ПК/сервера - сразу делаем образ.
2. Никогда не обновляемся, если: мы за firewall'ом, всё работает и не устанавливаются/запускаются никакие сторонние("чужие") приложения/сервисы (т.е. или режим сервера, или обработка документов/проектов).
3. Если нужно массовое обновление в Windows-домене - используем ActiveDirecory вместе с SCMM.
4. Если ПК автономный (без доступа к интернету) - используем офлайн установку с помощью https://www.wsusoffline.net/ , проверяем и делаем новый образ.
5. Если нужны обновления - делаем не чаще 1 раза в пол-года с предварительной проверкой в лабе офлайн-пакета (созданного в п.4) на попытку изменения существующих файлов/настроек системы и любых сетевых соединений. После - делаем все необходимые правки в окружении локальной системы и производим настройку сети (если необходимо!). Создаём образ и ТОЛЬКО ПОСЛЕ ЭТОГО! обновляем все другие ПК в корпоративной сети.