Касательно взлома httpсервиса. Взломать, в смысле получить данные, наверное сложно, но ddos никто не отменял.
А что будет в результате ddos? В новой версии сервера 1С вроде как можно выделить отдельный кластер для службы, поставь отдельный web сервер, и отдельный кластер на обслуживание http сервиса. При зависании 1С сама рестартанет службу, ну и web сервер думаю тоже можно рестартить как-то. А можно вообще через службу очередей, тогда в инет вообще ничего смотреть не будет.