Esta linha funcionou para mim:
icacls testdir /grant "NT AUTHORITY\NetworkService":(OI)(M)
e
icacls testdir /grant "NT AUTHORITY\NetworkService":(CI)(M)
Atualização: E isso também:
icacls testdir /grant "NT AUTHORITY\NetworkService":(OI)(CI)(M)