Соглашусь, что базовые вещи типа обновлений и настроек важны, но на практике мало кто их регулярно делает. Часто проще заложить бомбу замедленного действия, чем действительно заняться безопасностью серьезно. Да и автоматические сканеры не всегда ловят сложные баги, так что без живого пентестера в крупных проектах точно не обойтись. Просто помнить об этом — уже половина дела.