[Dirk Diggler]

Для этих целей естественно делать такую иерархию:

Пусть есть ресурс A, специально для него создаем нужное количество групп безопасности такого вида:
"Группа полного доступа к ресурсу А"
"Группа доступа на чтение ресурса А"
"Группа доступа на изменение ресурса А"
и т.п., по надобности. У меня всего 2 или 3 такие - полного доступа, чтения, просмотра содержимого.
Итого получаем - кучу ресурсов и соот-щих им групп. К КАЖДОМУ РЕСУРСУ ПРИВЯЗЫВАЕМ ТОЛЬКО ЭТИ ГРУППЫ, НИКАКОГО ПРЯМОГО НАЗНАЧЕНИЯ ПРАВ.

А с друго стороны - кучу пользователей и соот-щих им групп, отражающих структуру организации. Далее просто - просто меняем членство в группах.
Скажем, есть Иванов, он член группы "Менеджеры", имеет свою папку "Иванов". Создаем группу "Доступ к папке Иванов", даем ТОЛЬКО ЕЙ права на папку. А вот уже в эту группу включаем в эту группу самого Иванова и кого хотим.