单位网站被挂马了，后台admin目录直接被人扫出来，愁死我了

我们单位那个破网站用的WordPress，一直没怎么管，昨天领导突然说网站打不开了，我一看好家伙，首页全被改成赌博广告了。查了下访问日志，后台wp-admin被暴力破解了好几天，密码太简单直接进去了。现在把后台地址改了，密码也换了强密码，插件全更新了一遍，还装了Wordfence防火墙。想问问各位，像我们这种小单位没专门运维的，平时还有啥要注意的？总不能天天守着看日志吧。