プロダクション環境のパッケージアップデートのベストプラクティスは？

linux 系のプロダクション環境にサーバーをデプロイしていたとします。このサーバー上の、パッケージアップデートはどのように行うのがよいのでしょうか？

というのも、 linux 系の OS においては、 yum か apt 系のパッケージマネージャーによってソフトウェアが管理されています。これらパッケージは、放っておくとすぐに新しいパッケージがリリースされ、そのままそれらを放置しておくのは、よろしくないと考えます。

ふと考えるのは、古いパッケージを使うのがよくないならば、例えば cron でパッケージアップグレードしてしまってもよさそうです。しかし、これは本当に理想ならば、むしろ標準の system cron あたりでこの機構は実装されていても良さそうな気がします。