セキュリティプラグインを入れていれば安全ですか？

セキュリティプラグインは有効な対策のひとつですが、プラグイン自体もWordPress上で動くため、サーバーやWordPress本体が侵害されると一緒に無力化される構造的な限界があります。サイトの外側（エッジ）での遮断と、本体・プラグインの更新を組み合わせるのが現実的です。

更新すると表示が崩れそうで、怖くて更新できません。

その状態のまま放置するのがもっとも危険です。現実的な進め方は、(1)バックアップを取って検証環境で更新を確認する、(2)すぐ更新できない期間はWAF・仮想パッチで既知の脆弱性を狙う攻撃を遮断して時間を稼ぐ、の二本立てです。サイトドックはWordPressに手を入れずに(2)を月額で提供します。

変わります。サイトドックの月次の定期診断では、WordPressと判定されたサイトのみ、本体・プラグインの脆弱性データベース照合を追加で実施します。WordPress固有の弱点（ユーザー名列挙・XML-RPC等）も確認対象です。