IIS assolutamente patchato con tutti gli aggiornamenti di sicurezza.
Se il sito non deve essere pubblico consenti l'accesso per i soli utenti autorizzati.