Normalmente diseño mis bases de datos siguiendo las siguientes reglas: Nadie más que db_owner y sysadmin tienen acceso a las tablas de la base de datos. Los roles de usuario se controlan en la capa de aplicación. Usualmente uso un rol db para otorgar acceso a las vistas, procedimientos...