Embora eu não possa apontar para nenhum defeito específico relatado, eu ficaria nervoso com a arquitetura node.js - onde seu código é executado como parte do código do servidor web. Embora com algo como mod_php, ainda há apenas um único processo manipulando as camadas HTTP e lógica, há uma clara separação funcional entre o 2 e a interface entre o servidor da web e a camada lógica foi expressamente projetada e testada para acomodar falhas - Particular na camada lógica.
Além disso, existem muitas ferramentas disponíveis para servidores Web (o Apache em particular) que facilitam o gerenciamento e (usados corretamente) aumentam a segurança.
Outra consideração importante é a disponibilidade de habilidades / suporte / treinamento - independentemente de sua qualidade / utilidade, o node.js tem muito o que fazer em comparação com outras plataformas de desenvolvimento da web.
Our development team has been considering using Node.js
Que você está especificamente tentando entregar o que deve ser um aplicativo muito seguro em uma plataforma que (a julgar pela sua declaração acima) você não está totalmente familiarizado com parece ser muito imprudente. A maioria das vulnerabilidades de segurança em aplicativos da web surgem não por causa de falhas no ambiente de desenvolvimento, mas em falhas no código personalizado adicionado na parte superior.
Certamente, usar um proxy reverso facilitaria a obtenção de registros HTTP padrão, detecção de anomalias e reduzir o impacto de ataques em nível de protocolo.
Uma das melhores ferramentas para criar aplicativos da Web seguros é o mod_security - AFAIK, que só está disponível para execução no Apache - mas ofereceria a possibilidade (juntamente com mod_proxy ) de implantar um sistema front-end fornecendo o servidor web usual funcionalidade (criação de log, conteúdo estático) junto com, digamos, serviços de autenticação e uso de node.js como um back-end.