On m'a demandé ce soir si je connaissais un moyen de limiter l'utilisation de su à un groupe précis. Voilà la solution (gruik) que j'ai trouvé:

$ addgroup wheel
$ chgrp wheel /bin/su
$ chmod o-x /bin/su
$ chmod +s /bin/su
$ adduser mon_user wheel

J'avais prévenu, c'est gruik-powered. Ceci dit, il parait que c'est faisable avec PAM, je regarderais ça de plus près un de ces jours :)