Você poderia fazer isso criando uma pasta onde ficaram todos os seus aquivos protegidos e dentro dessa pasta você criaria um arquivo .htaccess colocando essa instrução abaixo dentro dele, que faz com que o acesso a pasta seja proibido por requisição http e assim retornando um erro 403 para o usuário que tentar acessar qualquer arquivo dentro da pasta:
Deny from all
E na raiz da sua aplicação onde estiver o arquivo index.php você colocariapoderia colocar outro .htaccess com os seguintes comandos abaixo, caso você queira trabalhar com url amigável:
RewriteEngine on
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ /index.php/$1 [L]
Onde dentro do arquivo index.php você teria que tratar o argumento $1 da requisição.
A estrutura das pastas poderia fica assim: