WordPressって便利ですよねー。プログラマーじゃなくてもカスタマイズしていけば便利なサイトになるなと感じていて重宝します。
ただ、ずっと言われていることですが、セキュリティ面は不安がありますよね。人気なシステムなので攻撃してくる人も多くなる至極全うな成り行きから今回はWordPresのセキュリティについて普段最低限やっていることをまとめました。
実際にあった話ですが、プラグインのアップデートを放置していてマルウェアに感染させられて、共有サーバ内のほとんどが被害にあったってケースもございます。バックドアなど見つけられない方は泣く泣く専門家に依頼することになってしまい、大惨事となりかねないので他人事ではありませんね。

それでは参りましょう。

ユーザ名に「admin」など分かりやすいものを設定すると危険なので、どうせブラウザに記憶させるので、「パスワード生成ツールパスワード生成ツール」でユーザ名とパスワードを複雑なものに設定しています。

デフォルトの「wp_」ではなく不規則な文字列へ変更しています。SQLインジェクションや特定のテーブルに対する攻撃を防ぐことができます。
参考：SQLインジェクション攻撃への対策｜脆弱性を悪用する仕組みと具体例

こちらも更新が必要な際は必ず行っています。しかし、アップデートする前に各種プラグインとの互換性などには気をつけてください。ステージング環境等で確認するように心がけましょう。

テーマはもとよりプラグインはいくつかインストールしていると更新が面倒になるので、「WP Updates Notifier」で通知を受け取るよう設定すると必要なときだけ更新ができますので便利です。
参考：WP Updates Notifier の使い方はこちら

管理が大変になるので不要なものは削除します。

WordPress.org では 600 を推奨しているようですが、可能ならより安全な 400 へ変更しております。
共有サーバによっては 400 では動作しない場合がございます。またプラグインがインストールできない場合などは一度パーミッションを変更して再度 400 に変更するなどして対応しております。
参考：wp-config.php の編集
参考：WordPress の安全性を高める

こちらもできればやったほうが良いかと思っております。念には念を…

私は結構「All In One WP Security & Firewall」を使っています。
参考：All In One WP Security & Firewallの使い方とおすすめの設定方法
各種設定項目はご自身で調べてください。ブラウザの拡張機能でGoogle翻訳をインストールしておくと、だいたいの項目が分かるので便利かと思います。

・Enable Login Lockdown Feature（ログインロックダウン機能を有効にする）
・Enable Force WP User Logout（WPユーザログアウトを有効にする）
・Enable Basic Firewall Protection（基本ファイアウォール保護を有効にする）
・Enable Basic Firewall Protection（基本ファイアウォール保護を有効にする）
・Enable Rename Login Page Feature（ログインページの名前変更を有効にする機能）※URLも同時に変更します。
※その他は内容に応じて設定したりするものもございます。

wp-config.php ファイルに以下の記述をすることで、外観→テーマ編集項目や、プラグイン→プラグイン編集項目が非表示になり、/theme-editor.php等にもアクセス不可になります。

/* 管理画面からのプラグインやテーマ編集を無効化する */
define('DISALLOW_FILE_EDIT',true);

こちらもユーザが固定IPアドレスを持っている場合は設定しておいたほうが良いと思っています。
参考：WordPress管理画面にIPアドレス制限をかける方法(.htaccess)

さくらインターネット さんのサービス内容に 国外IPフィルタ というものがございます。
下記のディレクトリが対象となるようです。

ディレクトリ    /wp-admin/    Wordpress 管理画面ディレクトリ
ディレクトリ    /phpmyadmin/    phpMyAdmin ディレクトリ
ファイル    wp-login.php    Wordpress 管理画面ログイン
ファイル    mt.cgi    Movable Type 管理画面ログイン
ファイル    admin.cgi    各種CGI管理画面ログイン
ファイル    xmlrpc.php    WordPressの遠隔操作（XML-RPC）用ファイル
必要に応じてこのようなサービスを利用させていただくというのも対策のひとつかも分かりません。

Akismet Anti-Spam は標準でインストール済みですが利用する価値あります。迷惑なスパムコメントを自動的に専用のスパムフォルダへ振り分けてくれるプラグインです。また、Contact Form 7 などにも適用できるので重宝しています。
参考：Akismet によるスパムフィルタリング