klar ist die meiste software in woody nichtmehr auf den aktuellsten stand, aber sicherheitstechnisch ist sie es. Ob man nun das ein oder andere feature von der neuen version braucht muss man selbst abwägen und ggf. eben selbst einen backport machen oder einen backport laden von einer inoffiziellen seite.

Ich persönlich verwende debian stable ohne ausnahme auf servern, da ich auf die neuen features gerne verzichte, wenn ich den vorteil der zurückportierten security patches habe.
Für den Systemadministrator bedeutet ein update wegen eines bugs auf einen neue version einer software unter umständen änderungen in der konfiguration, schlimmstenfall wegfall eines benötigten features, oder inkomptibilität zu eigenentwicklungen (scripts, etc). Dies würde ausfall oder großen aufwand bedeuten, bis hin zum testen des updates auf einem exakt gleichen system (mal im ernst, weg hat das schon?) und darauffolgend, wenn alles läuft oder angepasst ist, erst die produktivschaltung.
bei debian verzichte ich auf langes testen / migrieren (es sei denn ein neues stable wird released) und bin damit seit slink gut gefahren. die updates haben immer gepasst.

auf dem desktop fahre ich sid. und fahre gut damit. oder auch nicht schlechter als bei anderen state-of-the-art distris

Was die Änderung der Policy angeht
da gebe ich dir recht: das hätte man auch nach sarge noch tun können.

cu,

mfl