Добавить к инфоблоку множественное свойство типа "Привязка к пользователю" - это будет список юзеров, которым разрешено или запрещено что-либо делать с файлом. Так же добавить свойство типа "Список" из значений "Разрешить", "Запретить" - это свойство будет описывать, как поступать со списком пользователей. Файлы передавать не напрямую, а через скрипт-шлюз, в котором проверять права. Можно почитать вот это