Unter ElCap ist der "rootless" uninteressant, wird aber vom Kext Utility immer wieder gesetzt.
Dein "nvram -p" sollte folgende Zeile im Ergebnis haben:
dann wäre SIP deaktiviert.
Mit folgendem Eintrag in deiner Defaults.plist wäre das der Fall:
Als reiner Text wäre das folgendes: