Com certeza Pilati. O mundo mudou bastante!

Numa auditoria, quando vemos que há uma porta SSH aberta para a internet, pensamos em algumas possíveis hipóteses:

• a porta realmente está aberta para manutenção. O admin tem alguma estratégia de segurança interna para prevenir possíveis ataques;
• a porta está intencionalmente aberta para servir como honey pot. É incrível avaliar, pela captura dos logs, as tentativas de senha, o padrão de tentativas e os possíveis locais de origem. Caso o acesso ocorra, daí os comandos intentados são valiosos para uma avaliação de possíveis ataques 0-day (ainda desconhecidos);
• a porta está acidentalmente aberta por inexperiência ou desconhecimento do administrador (aberta por default, esquecimento, etc.).

Também acredito que manutenção remota nos dias de hoje só por meio de uma camada extra de segurança proporcionada por uma VPN e/ou limitação por IP de acesso com solicitação programada para uso. No passado usava-se o Port Knocking, mas ...