>>А просто правами на каталоги/файлы не отмежеваться от остальных пользователей?
>>chmod -R o-rwx /some_data
>>chown -R root:secure /some_data
>>gpasswd -a apache(www-data) secure
>
>Дело в том, что мне нужен способ который будет эффективен даже если
>злоумышленник получит root'а. При физическом доступе к серверу это вполне возможно.
>Сам видел. Пользователей на сервере не будет, имеется ввиду - рабочих
>пользователей, только сервисные - для базы данных и тп.

1. чтобы обезопасить сами приложения на диске я бы использовал криптование раздела на файловой системе. главный пароль для раскриптовки НЕ должен хранится локально, а должен вводится при загрузке сервера. то есть перезагрузил - пока не введешь пароль ничего работать не будет

2. чтобы защитить данные (а не программы, я уже делал базу где хранятся кредитные карты) - все данные в базе криптуются ключем, который вводится в программу в момент старта и нигде не  хранится. веб-приложение у меня было на Java/Tomcat, при рестарте томката ключ пропадает. надо зайти на веб-приложение по ssl и ввести ключик.