metti il file di proprieta' dentro la cartella WEB-INF (o una sua sottocartella) del tuo application server (o servlet container), in questo modo non e' accessibile attraverso nessun url..
Invece il modo che usi per caricare il file mi sembra corretto, probabilmente devi solo specificare la posizione completa del file nel file system. Eventualmente vedi se riesci in qualche modo a specificare un percorso relativo al context della tua applicazione, che mi sembra un po' piu' carino