Короче, чем проще — тем лучше. Если оставить config.php или бэкапы открытыми, это почти как дать ключи от дома посторонним. Никто особо не полезет просто так, но если захотят, потратят пару минут — и привет, взлом. Закрывать эти файлы — это как базовая гигиена для сайта, без этого никуда. Даже что-то маленькое может потом выкатиться в большой геморрой.