se disabiliti il browsing della cartella se per qualunque motivo (esempio errore pagina asp con riferimento al percorso del db) l'utente può scaricarsi il db richiamandolo dall'url
dovresti sempre da iis settare i permessi a scrittura e non lettura in questo modo l'utente non può scaricarlo
non l'ho mai provata questa cosa però dovrebbe essere così.
Altrimenti potresti dare per quella cartella l'autenticazione di windows e nella cartella di windows (del db) dare i permessi adeguati all'utente internet_user (sempre scrittura e non lettura)
prova un pò e fammi sapere
Ciao
Michele