права читаются на каждой странице
Значит, БД отдает их из кэша, не перечитывая. Независимо от того, одно это значение или список. Испортить это можно разве что каким-нибудь сильно кривым запросом.
Раз вам "вчера понадобилось добавить", видимо, проект еще разрабатывается - и вполне может вырасти до ситуации, когда эти права придется выкинуть и реализовать уже полноценные роли, группы пользователей и прочие "серьезные" решения.
Пока - храните так, как удобнее с ними работать. Массив из нулей с единицами в JSON можно заменить битовой маской, но лучше выкинуть вообще, поскольку он станет мешать при первом же серьезном изменении прав. А вот отдельная таблица, в которой права будут обозначены тегами, позволит довольно гибко менять систему прав, не меняя хранения.