Você não pode parametrizar diretamente o nome da tabela. Você pode fazer isso indiretamente via sp_ExecuteSQL , mas você também pode construir o TSQL (parametrizado) em C# (concatenando o nome da tabela, mas não os outros valores) e enviá-lo como um comando. Você obtém o mesmo modelo de segurança (ou seja, você precisa de SELECT explícito etc, e assumindo que não está assinado etc).

Além disso - certifique-se de colocar na lista branca o nome da tabela.