При загрузке JPG/Png их можно пережимать на стороне сервера, и понижать для JPG процент сжатия.
2. Разрешённые типы файлов: txt, jpg, gif, pdf, doc, rtf и размер до 5Мб. - это 90% того, что может понадобиться на форуме, но возникает вопрос: возможен скрипт (в рамках этих файлов), который позволит сделать deface или что-то еще форума или сайта?
Можно при загрузке загружать в отдельный каталог, вне каталога сайта/форума, к этой папке крепится вирутальный хост на пример upload.internet-law.ru и с него вставляются ссылки на файле, самому хосту запрещено всё кроме как отдачи контента (php, cgi, etc…)
во первых это снизит нагрузку на сервер (если повесить ещё туда nginx) во вторых даст как раз, некую долю секьюрности