Bör man namnge dem med något kryptiskt namn?
Nej.
Kan man lägga filerna utanför roten så som man bör göra med en databas?
Ja.
Det du gör sedan är att skriva ett skript med vars hjälp man kan hämta filerna. Jag sysslar inte med asp själv, men vad jag förstått kallas det fso (file system object) det du ska använda. Principen är den att skriptet ska kunna, via filsystemet, hämta en fil och sedan skicka över den till besökaren om han/hon har en giltig inloggning.
På så vis är enda sökvägen till filen genom skriptet, som i sin tur kan verifiera att man är behörig.