[管理セクション] → [サイトの環境設定] → [ファイルシステム] にアクセスすると、以下のようなメッセージが表示され、一時ファイルの保存先として files フォルダの直下に tmp フォルダが自動的に作成されます。（メッセージが表示されるのは最初の1回だけです。）
また、files フォルダおよび tmp フォルダ内に、それぞれ .htaccess ファイルが自動的で作成されます。

※ これらの作業が自動で行なわれず、フォルダの作成やパーミッションの変更を手動で行なうよう促すメッセージが表示された場合、セーフモードなどの影響が考えられます。
環境によっては「ディレクトリ files/tmp が作成されました」のメッセージが表示されず tmp フォルダも作成されない場合がありますが、その場合には tmp フォルダのデフォルトの位置が適切か確認する必要があります。

ファイルシステムページでは、以下の内容についての設定が行えます。

ファイルシステムのパス

Drupal サイトからアップロードしたファイルの保存先を指定します。デフォルトで files になっていると思います。
※ drupal.org では、この設定は変更しないことがすすめられています。

テンポラリディレクトリ

アップロードしたファイルを一時的に保管しておく場所を指定します。
デフォルトでは files/tmp になっていると思います。
環境によっては /tmp となっていて、tmp フォルダが作成されない場合がありますので、そのような場合は files/tmp に修正します。
※ drupal.org では、この設定は変更しないことがすすめられています。

ダウンロードの方法

アップロードしたファイルへのアクセス制限を行なうかどうかを設定します。
デフォルトでは パブリック になっていると思います。
ダウンロード方法 について drupal.org では、プライベートに設定することがすすめられているようですが、このサイトの内容はデフォルトの状態を前提としてまとめています。

• パブリック
  サイトにアップロードされたファイルへ匿名のユーザを含むすべてのユーザがアクセスできます。
• プライベート
  サイトにアップロードされたファイルへのアクセス権限を管理できます。

ファイルシステムのパスをウェブからはアクセス不可能のパスに設定し、かつファイルのダウンロード方法をプライベートに設定することで、ダウンロードされるファイルにアクセス権を設定できるようです。
詳細については、確認できしだい、追記します。

変更した内容があれば「設定の保存」で、情報を保存します。

設定が保存されると以下のようなメッセージが表示されます。

※ ファイルシステムのパスおよびダウンロード方法は、変更するとアップロードしたファイルの URL が変更されるので、サイトの稼動後に変更することはすすめられていません。

なお、ファイルシステムについての詳細は drupal.org の File system settings に記載されています。