É isso que deve ser feito.
Isso também está correto.
A documentação que você envia existe e não é necessária para você, já que você já entende como funciona sem lê-la (você pesquisou por “category group”, por exemplo?) 
Veja Como criar categorias privadas usando configurações de segurança de categoria para confirmar que o que você pensava saber está de fato correto!