Всё правильно расписываешь. Особенно важна регулярная проверка плагинов — часто именно они самые слабые места в безопасности. И да, двухфакторку реально надо включать, а то админки с простым паролем — это подарок для взломщиков. Обновления — тема отдельная, потому что без них дыр полно, даже если форум вроде и работает нормально. Главное — не расслабляться и держать всё под контролем.