社内で閉じてるシステムなのになんでそんなに悩むのかがわからん。
社内で閉じてるなら、悪意ある第三者対策は必要ないんでしょ？
だったら、アクセス制限が明確に使用者に分かるようになってればいいだけ
なんだから、ディレクトリ単位でベーシック認証でも掛けとけば十分なんじゃ？