Wenn die Lockbits mal gesetzt sind, kann man die nicht mehr umstellen, das geht dann nur in dem man den ganzen AVR zurücksetzt, also auch der Progammspeicher wieder leer ist, also kann das keiner lesen.

Bei solchen Sachen wird dann gerne ein Bootloader genommen, man kann zwar noch updaten, aber nicht per ISP an den Speicher ran.
Bekanntestes Beipiel dafür hier im Forum ist der ASURO.