Du solltest auf jeden Fall darauf achten, dass die db.pm nicht über das Web erreichbar ist.

Wenn also der DocumentRoot des Webservers auf /var/www/web/html zeigt, dann würde ich das Modul z.B. in /var/www/web/files ablegen. Wenn das nicht geht, dann das Verzeichnis mit dem Modul mit .htaccess schützen.

Das Thema Sicherheit bei Webanwendungen ist ein weites Feld. Vielleicht ist auch ein Blick auf http://www.owasp.org/index.php/Main_Page ganz interessant.