webサーバーのセキュリティについて

Amazon Web Serviceを使ってEC2インスタンスを作成してwebサーバーとして使っています。

htmlのホルダーと同じレベルにユーザーのデータが入っているホルダーがあり、php経由でサイトの入力情報を元にユーザー毎にファイルを作り、そこに保存しています。そのディレクトリはその他には書き込み権限だけ（ファイルを保存するため）にしています。クレジットカードなど重要なデータは入っていませんが、一応個人情報なので外部からの閲覧はできないようにしたいです。

プロジェクトチームがサーバー構築の初心者なのと、データはそこまで多くないため（13000KBほど）ストレージなどは使わない予定でいます。チームは２人で、もう一人はIMAユーザーとして同じ秘密鍵を使ってssh（ポート22）でインスタンスにアクセスしています。まだ小さいプロジェクトですが、データホルダーのセキュリティ面でこのままで良いでしょうか？最低限やっておいた方がいいことはありますか？