Код увеличится на пару строчек)
Парой строк не обойтись, но дело и не в этом - надо делать так, чтобы пользователю было удобно настраивать и пользоваться. В небольших компаниях обычно все для всех открыто и народ особо не заморачивается. Поэтому с этой точки зрения лучше делать Разрешено все, что не запрещено.
Потому что если сделать Запрещено все, что не разрешено, пользователь один хрен для начала все всем разрешит. Да так все и останется.
Но если сделать Разрешено все, что не запрещено, то, при логической ошибке пользователь может получить доступ к не своим данным.
В принципе, в тех же небольших компаниях это не так уж критически важно...