[Kaimor]

Да вроде поставленную задачу разграничения прав решил.
Только наследование прав доступа кажется стоит отключить

[zero55]

Можно проще.
1. определяете набор папок.
2. создаете подпапки.
3. по именам подпапок создаете группы subfolder_readers и subfolder_writers
4. включаем в группы нужных людей

Управление доступом производится добавлением или удалением в группах.
PS наследование естественно отключаете + включаете ABE (Access Base Enumeration)