Размещение сайтов на vps и пользователи?

Лучше каждый сайт держать под отдельным бесправным пользователем и проследить, что один пользователь не видит домашки и файлы других пользователей, а так же ничего сколько-нибудь важного.

Под Apache эта задача решается через mpm-itk и несколькими другими методами, которыми я не пользуюсь из соображений совместимости и простоты настройки. Смотрите мой пост на эту тему:
habrahabr.ru/blogs/linux/90689/

Если у вас нет ACL или не хочется усложнять, делайте как в этом комментарии:
habrahabr.ru/blogs/linux/90689/#comment_2732041

В сети есть несколько статей как настроить несколько относительно независимых виртуальных хостов. Примеры: раз/a>, два
Вместо ftp лучше использовать Secure copy (SCP), работающую поверх SSH.
Есть также несколько практик по безопасности непосредственно сервера: port knocking, fail2ban, изменение стандартных портов, скрытие версий ПО. Это, как правило, спасает от автоматического взлома.
Отключение потенциально опасных функций PHP, различный тюнинг CMS тоже не повредит. Например, простой перевес админки из /admin/ в /masterloginpage/ озадачит ботов, перебирающих пароли к CMS.