как тогда может работать аппаратная защита биоса, если туда всегда что-то пишется?
Защита в общем-то аппаратно-программная, т.е. обычно нужно выставить бит запрета записи в статусный регистр. Если еще и WP# управляется программно, то защита полностью программная.
bublik
Области DMI/ESCD, например.