Sobre seguridad en sql2005

Hola

tengo varias dudas acerca de la configuracion de la seguridad cuando se
trabaja con autentificacion integrada, haber si me pueden guiar un poco:

En BD de escritorio trabajando con Sql Express
Desde el SSMS se debe crear un inicio de sesion que sea de un grupo de
usuarios especifico, si estamos en xp y en maquinas sin dominio normalmente
el usuario usa el passw del administrador por el motivo de que "es su
maquina" por tanto puede ingresar al SSMS y ver tablas , SPs, alterarlos
bueno puede hacer de todo,

Cual es la mejor forma de trabajar para que Solo la aplicacion pueda
ingresar al sql para el mantenimiento, o que se pueda crear un usuario que
sea conocido por mi (el proveedor de soft) de forma que si se necesita
"tocar" la BD entonces lo haga alguien autorizado y no cualquier hijo de
vecino que tenga acceso a la maquina

En entorno Web
El caso es practiamente el mismo, el adicional que para que el IIS tenga
acceso a la bd hay que darle permisos de owner al "nt_authoring\Network
Service" ademas q hay q darle el acceso al grupo de usuarios del dominio que
puede usar el sistema, aqui la pregunta es la misma como hacer para que solo
un usuario pueda entrar al SSMS a administrar la Bd y no cualquiera

Gracias por la guia

Sergio