Qualquer dado inserido num cookie fica visível ao usuário (se ele souber como acessá-lo, é claro), bem como passivo de ser alterado pelo usuário. Assim, dizer se é seguro ou não depende de quais as consequências dessa exposição do ID.
Raramente um ID de usuário é secreto, então não vejo muito problema nele ser lido. Mas se em um caso particular isso for um problema, é melhor não enviá-lo ao usuário, guardando-o na sessão por exemplo (melhor opção), ou alternativamente criptografá-lo antes de enviar (pior opção, só use se não tiver alternativa).
Quanto a ser alterado, aí depende de como ele está sendo usado, como já abordado nas demais respostas. Em geral, a alteração pode ser problemática se ela permite a um usuário impersonar outros usuários. Nesse caso, é importante sim evitar essa alteração.
Um método, já citado, é o uso de um ID de sessão ou outro token de acesso, aleatório, que não possa ser "adivinhado" na prática (recomendável, em particular pelo fato da grande maioria das linguagens/frameworks darem suporte a esse método, inclusive o PHP). Outro seria assinar o cookie antes de mandá-lo pro cliente (seja usando assinatura digital [assimétrica] ou, mais simples, um HMAC), verificando a assinatura quando recebê-lo de volta. Dessa forma, os dados ainda podem ser lidos pelo usuário, mas qualquer alteração nos mesmos invalidaria a assinatura, fazendo o cookie ser rejeitado pelo servidor. Esse método é útil quando não se pode/não se quer armazenar as sessões no servidor, mas ao mesmo tempo é mais complexo de se implementar corretamente (e mais fácil de cometer erros!), então deixo apenas como alternativa.