Как вы считаете, безопасно ли следующие распределение прав?
Что можно улучшить?

При первом заходе на сайт создается сессия вида: 
$_SESSION['id_user'] = "1"; //id всех гостей
$_SESSION['name_user'] = "Гость";
$_SESSION['group_user'] = "3"; //группа анонимных пользователей

При авторизации:
После отправки формы с логином и паролем, проверяются данные на валидность и если всё верно, то у пользователя создается Кука с сгенерированным ключом. Этот ключ и id_user’а заноситься в БД.  Далее обновляем сессию: 
$_SESSION['id_user'] = $id_ user;
$_SESSION['name_user'] = $user_name;
$_SESSION['group_user'] = $id_ group;

При повторном заходе проверяется ключ записанный в куку, если он есть, то мы обращаемся к БД (where key=$key_in_coockie) и получаем ид пользователя, потом получаем ид группы и его имя. И всё это заносим в сессию.

Далее, весь доступ к модулям определяется по данным из сессии.

Например, при попытке пользователя войти в админку, мы берем ид группы из сессии проверяем на доступ в админку, если доступа нет. Переадресовываем его на главную страницу сайта.

Для простого проекта такая схема подходит....Сам так делал.
А для большого проекта наверно имеет смысл разделять админские скрипты от юзерских.

Smak, 
Из ситем ACL рекомендую взглянуть на PEAR::LiveUser(ZendFW) и GACL(Joomla/Mambo)