Максимально параноидальный способ - но нужен доступ к консоли сервера (IPMI, RVM)- вариант с перехватом IPMI трафика рассматриваем по желанию.

- сами ставим OS - чтоб гарантировано не было сюрпризов
- системный диск загоняем под криптовку (Bitlocker, Truecrypt (хотя они уже сами кивают в сторону Bitlocker ) или еще что - софта много)
- наслаждаемся и не забываем про накат апдейтов

Сетевую часть можно еще дополнительно прикрыть VPN (от MS или какой-нить OpenVPN) или гнать RDP через stunnel

При этом
- накладные расходы на криптовку при работе с HDD (и сетью)
- проблема при рестарте сервера - нужно ввести пароль или так и будет стоять на старте (в варианте Bitlocker - это 48 символов :-)

Узкое место - трафик IPMI - его тож желательно утолкать под впн - но это надо говорить с хостером. Хотя если взять физический сервер - то там можно развернуть Hyper-V, на нем же VPN - а торговую машину внутри как виртуалку