Какие назначить права и владельца на папку для безопастности, если они редактируются из скрипта?

У всех скриптов, а тем более в публичной части не должно быть права на запись у www-data! Иначе зальют бэкдор. У скриптов сделайте владельцем себя, а www-data и nginx root разрешите только чтение.

Если заливаются картинки в отдельную папку - пусть будут права на запись у www-data. Но правильно настройте nginx, чтобы всё из этой папке отдавалось без исполнения php.
Все остальные редактируемые данные храните в БД.

Очевидно, что это должно быть не на shared-хостинге, а как минимум VPS.