Można np. tak:

chgrp "grupa" /bin/su     #ustawiamy grupę, która może używać su (/bin/su) 

chmod 4550 /bin/su       #zabieramy uprawnienia dla wszystkich innych (other), zostawiamy dla właściciela (root) oraz dla grupy ("grupa") 

Po tym zabiegu user nienależący do grupy, do której należy binarka /bin/su nie będzie mógł wykonać polecenia su.