WSUS, на мой взгляд,более приемлемо в такой ситуации.Все заплатки ставятся от имени пользователя SYSTEM
Главное настроить ВСУС сервер так,чтобы клиенты не только скачивали ,но и автоматически устанавливали хотфиксы,а то юзеры могут неделю смотреть на значок автоматического обновления в трее и не посмеют его нажать
