Беру на себя краткий список того, что обычно забывают проверить, а потом горят админы.

Первое — обновления. Не пылить движок и плагины месяцами, особенно если там критичные фиксы.
Второе — права на файлы и папки. Всегда ставлю 644 на файлы и 755 на каталоги, иногда жестче для конфигов.
Третье — проверка форм на XSS и CSRF. Простая валидация и токены сессий — наше всё, даже если кажется, что никто этим не пользуется.
Четвёртое — авторизация. Если админка — обязательно защита от перебора: капчи, блокировки или двухфакторка.
Пятое — бэкапы. Можно и забыть, пока не сгорит всё сразу.
Шестое — логи. Если система логирует входы и ошибки, это уже половина удачи при расследовании.
И последнее — регулярный аудит софта: не только движка, но и модулей, шаблонов, которые часто добавляют через непроверенные источники.

У меня обычно проходит проверку 10-15 минут, а спокойствия потом намного больше. Делитесь, кто что забыл сделать и где чаще косяки ловите?