Правильно ли я обезопасил свой микротик?
Так то да, но если нет опыта настройки фаирвола логичнее использовать дефолтные, так как в свежих версиях RouterOS они хороши.
Нет.

Нет, поставленная задача решена - извне ничего не подключится. От слова совсем. 

То есть:
- нет DNS на микротике
- нет обновлений
- нет VPN

ну то есть нет никакого трафика, приходящего снаружи в INPUT :) Примерно как "отрубить руку, обнаружив прыщ"

Отключите Ваше сверх-правило и сделайте что -то типа:
/ip service
set telnet disabled=yes
set ftp address=10.5.2.0/24 port=19701
set www disabled=yes
set ssh address=10.5.2.0/24
set www-ssl address=10.5.2.0/24 certificate="RB450G cert with key" disabled=no port=19703
set api disabled=yes
set winbox address=10.5.2.0/24
set api-ssl certificate="RB450G cert with key"
где вместо 10.5.2.0/24 ессно Ваша локалка и номера Ваших портов (хотя можете и эти оставить). Это отключит Вам telnet и http, закроет ssh, https и winbox. Кроме того ftp и https переместятся на порты 19701 и 19703 соответственно.