Me ha hecho gracia el hilo, un móvil u ordenador es tan seguro como su usuario lo sea. Nosotros somos la brecha de seguridad actualmente, cada vez que me preguntan por un antivirus para PC recomiendo el de Windows y sentido común, con eso paras casi todo (por no decir todo). ¿Y para el móvil? Ninguno.
Si necesitas una seguridad extremadamente robusta en un sistema empiezas por no conectarlo ni a internet si se puede permitir esto porque no sea estrictamente necesario para su actividad.
Sobre las ROMs, mirar que tenga el código fuente en público y sea oficial (como mínimo una buena base de usuarios o un buen desarrollador), no algo raro sacado de un foro ruso a las 2 de la mañana y que al día siguiente haya desaparecido. El root es similar a los derechos de administrador que todos tenemos en nuestros PCs, no es peligroso si sabes llevarlo. Si has hecho root es porque sabes lo que quieres, no para decorar.
VPN si no pagas por un servicio privado, el producto eres tú como todo lo gratuito, y aún así pagando no te fíes. Debes leerte bien sus términos. Si una VPN te dice "no tenemos logs de tu uso" y sitúa su sede en Europa, Estados Unidos, Reino Unido o similares, ya empiezan mintiéndote. Están obligados a tener registros para colaborar con la ley. Si acaso usarla cuando te conectas a un WiFi público o de baja seguridad, pero eso ya me parece un suicidio si te importan tus datos, lo mejor es tirar de tu red móvil.
Para ir seguro por la vida... Leer bien los mensajes, vigilar los correos, en caso de que llegue una notificación de alguna cosa ir al sitio web o app en concreto para consultarlo, nunca desde los enlaces. Al abrir enlaces verificar que sea la url correcta. No abrir archivos que no sean de confianza. No instalar nada que no sea oficial.
Ante la duda informarse, nosotros somos nuestro mejor seguro.