nosuid : ignore les bits setuid et setgid
nodev : ignore les fichiers de périphériques
noexec : empêche les binaires d’être exécutés
noauto : ne monte pas la partition
nouser : seul root pourra monter la partition

Comme je suis faignante à la maison, j’automatise les mises à jour critique du système via le paquet unattended-upgrades.