Visual Studio SqlServer Perigo no sql

Olá Galera
Sei que esse aqui não é o portal do SqlServer 2008 mas acredito que muitos aqui trabalhem com visual Studio e sql ao mesmo tempo. E talvez já tenham passado por isso.
Vamos lá.
Meu aplicativo c# com exceção das tabelas de login aspnet tem permissão apenas de select e funcionava tudo bem até que der repente percebi que o maldito tinha poderes de insert delete update e até drop table para se ter uma ideia , como isso aconteceu eu não sei ate hoje pois no banco sql o usuário tem apenas permissão de select como já dito. Por motivos de segurança eu tirei o site do ar criei um novo usuário testei e agora sim apenas select.
Minha pergunta como vocês trabalham ?
Voces criam o usuário e grant execute procedure to user para as procedures que desejam rodar no site ? Qual seria a maneira correta de se fazer isso ?