Пару моментов смущают. Например, стопроцентной гарантии безопасности не даст ни один список мер, если админ сам халтурит или забывает про постоянный контроль. И двуфакторка — это хорошо, но не панацея, если пароль слабый и права раздавлены всем подряд. Всё это похоже на набор банальных правил, но на практике проблемы бывают куда глубже. Без постоянного внимания толку мало.