Мои мысли и как я делаю у себя :)
Пароль для ссш нельзя - чтоб не подобрали. Выход - используем ключи (как бы ясно)
Пароль должен быть сложный, просто потому что мало ли. Сгенерили, записали, закрыли под замок.
У админа должна быть учетка не равная root, например neroot. Чтоб не догадались. Потому что боты часто ломятся под root.
А еще порт сменить...
Сделать судо без пароля :) потому что удобно.
Ну и надо понимать, что в системе должны быть разные пользователи. Тоесть как бы root - это системный, а твой neroot будет для админа. А www-data для веб сервера. И тогда будет понятно кто что сломал и зачем ты пьяный заходил на сервер (ну это если логи есть). Как то так...
