C'è un ottimo tool della Microsoft per configurare l'IIS e negare l'accesso all'utente Everyone su alcune cartelle di sistema (o almeno glielo da in sola lettura).
Si chiama IIS Lock Down Tool. Il problema è che ora non riesco più a trovarlo sul sito.. Tutti i link che trovo su google sono rotti e rimandano alla pagina di errore Microsoft (sarà che è lunedì mattina).

Comunque se lo trovi fai bene attenzione perché una volta installato cambia parecchi permessi.. potresti ritrovarti a dover rivedere un pò la tua configurazione. Trovi dei log su quello che ha fatto al termine dell'installazione.

Ps. Quando hai un attimo ti prego di leggere il regolamento ai punti 5 e 6