En principio el servidor que has montado tiene una configuración aceptable. Solo tienes el puerto 80 abierto, firewall, antivirus y actualizas al día (¿correcto?). Un usuario malintencionado solo podría atacarte por el puerto 80 (desde fuera), y ya sabes que tipo de ataques se pueden realizar por ahí. No sé que hará tu firewall exactamente, si solo bloquea y abre puertos o si también filtra... no sé que funcionalidades ofrece. Los consejos que YO te puedo ofrecer por mis conocimientos son los siguientes:

• Busca tipos de configuraciones seguras para el IIS y consejos de qué habilitar/deshabilitar/hacer para que no se quede "nada" olvidado.
• Entérate de si tu firewall filtra contenido y actualiza periódicamente las reglas de filtrado (siempre salen nuevos ataques...)
• Revisa los logs periódicamente he intenta hacer backups de ellos o mantenerlos un par de semanas o un mes por si tu sistema es comprometido y no te das cuenta hasta que no pasa un cierto tiempo.
• Instálate algun software de testeo de vulnerabilidades (sobre todo de servidores web IIS) a poder ser que se mantenga (actualice ataques) y testea tu propia maquina con él
• Supongo que tu aplicación web estará desarrollada en algun lenguaje de programación (a parte de HTML) y con una base de datos. Revisa el código y la web (con el navegador) buscando posibles fallos, que las variables estén bien definidas, sobre todo el camino de las variables que se incrustarán en las consultas a la base de datos. Esto te lo recomiendo para evitar inyecciones de código SQL y a parte cualquier otro tipo de fallos...
• Sabes que hay un tiempo crítico desde que un bug es descubierto hasta que se hace público. De hecho puede tardar "años" en ser publicado por quienes lo descubrieron. Por eso no se puede decir 100% que tu máquina es segura, pero lo que no tiene sentido es no proteger tu máquina.

--
saludos

cyfuss