Eu diria apenas instalar os pacotes padrão da sua distribuição. Se você quiser chroot sua instalação do Apache, você pode instalar o pacote mod_chroot. No Debian / Ubuntu, isso seria libapache2-mod-chroot .
Em relação à atualização, certifique-se de estar usando uma versão suportada do sistema operacional (por exemplo, Debian Lenny ou Ubuntu Hardy LTS), para ter os repositórios de segurança ativados em sua sources.list e para atualizar seus arquivos. pacotes em uma base regular.
Se o seu cliente é um fanboy da Microsoft, ele certamente não está acostumado a construir coisas a partir do código-fonte e não deve chocá-lo para usar produtos já empacotados. Se você construir a partir do código-fonte, saiba que terá que seguir você mesmo os alertas de segurança e corrigir e reconstruir o software toda vez que isso acontecer, em vez de apenas atualizar os pacotes.
Eu sei que há muitos malucos de 'segurança' por aí que dizem que você deve construir tudo a partir do código-fonte, colocar tudo em chroots e travar seu computador em um cofre do banco. O principal problema que vejo com isso é que isso não aumentará necessariamente a sua segurança, mas certamente tornará muito difícil de administrar (apenas explicou o motivo no parágrafo anterior) e no final acabará sendo menos seguro do que usar o padrão pacotes e mantê-los atualizados com uma configuração de som.