Zabezpečení zařízení Windows – izolace jádra a integrita paměti (VBS, HVCI) srozumitelně

V aplikaci Zabezpečení Windows je sekce Zabezpečení zařízení a v ní odkaz na Podrobnosti o izolaci jádra. Najdete tam přepínač Integrita paměti. Řada lidí na něj narazí, když Windows zobrazí upozornění, že je vypnutá, nebo když se ji pokusí zapnout a systém vypíše nekompatibilní ovladače. Tento článek vysvětluje, co funkce dělá, jak ji zapnout a jak postupovat při potížích.

Informace vycházejí z dokumentace Microsoft Learn – Enable memory integrity (stránka aktualizována 2026; stav k 13. 11. 2026) a z kapitoly Windows 11 security book – Hardware security. Dokumentace je v angličtině a míří i na správce; zde vybíráme, co potřebuje běžný uživatel. Konkrétní podoba nabídek se může lišit. Nejde o odborné poradenství.

Související články: Windows 11 – požadavky na systém, TPM a kontrola, Microsoft Defender a Firewall Windows.

Aktualizováno: listopad 2026.

Hardware a software ve spolupráci

Microsoft ve své příručce o zabezpečení Windows 11 uvádí, že samotný operační systém a software nedokážou ubránit před celou škálou nástrojů, které kyberzločinci používají ke krádeži přihlašovacích údajů, dat a nasazování malwaru. Zařízení s Windows 11 proto ve spolupráci s výrobci čipů a zařízení chrání software, hardware a firmware funkcemi, jako je TPM 2.0 (Trusted Platform Module), Microsoft Pluton a zabezpečení založené na virtualizaci (VBS). Podle dokumentace poskytují zařízení s Windows 11 hardwarově podporovanou ochranu ve výchozím stavu, aniž by se výrazně snižoval výkon, na který jsou uživatelé zvyklí.

Co je integrita paměti

Integrita paměti (Memory integrity) je podle dokumentace funkce zabezpečení založeného na virtualizaci (VBS). VBS používá hypervizor Windows k vytvoření izolovaného virtuálního prostředí, které se stává kořenem důvěry operačního systému a předpokládá, že jádro může být napadeno. Integrita paměti je klíčová součást: spouští kontrolu integrity kódu v jádře uvnitř tohoto izolovaného prostředí a také omezuje alokace paměti jádra, které by mohly sloužit k napadení systému.

Funkce bývá označována i jako HVCI (hypervisor-protected code integrity) a původně byla součástí technologie Device Guard. Podle dokumentace:

• chrání před úpravou bitmapy Control Flow Guard (CFG) pro ovladače jádra,
• chrání proces kontroly integrity kódu v jádře, který zajišťuje, že ostatní důvěryhodné procesy jádra mají platný certifikát.

Jednoduše: i kdyby se škodlivý kód dostal ke kritickým částem systému, má těžší práci, protože ověření kódu v jádře běží v oddělené, odolnější části.

Postup zapnutí integrity paměti ve Windows – vlastní infografika

Kde ji najdete

Podle dokumentace je integrita paměti v Zabezpečení Windows → Zabezpečení zařízení → Podrobnosti o izolaci jádra → Integrita paměti. Od Windows 11 22H2 zobrazuje Zabezpečení Windows varování, pokud je integrita paměti vypnutá; indikátor se objeví i na ikoně Zabezpečení Windows na hlavním panelu a v oznamovacím centru. Uživatel může varování v aplikaci zavřít.

Firemní správci ji nasazují přes Intune, zásady skupiny, registr nebo zásady App Control; takto spravované počítače mohou mít přepínač v nabídce zašedlý s poznámkou, že nastavení spravuje správce.

Výkon a procesory

Dokumentace uvádí, že integrita paměti funguje lépe s procesory Intel Kaby Lake a novějšími (s funkcí Mode-Based Execution Control) a s procesory AMD Zen 2 a novějšími (s funkcí Guest Mode Execute Trap). Starší procesory se spoléhají na emulaci těchto funkcí (Restricted User Mode) a mohou mít větší dopad na výkon. Na starším počítači tedy můžete po zapnutí zaznamenat zpomalení.

Nekompatibilní ovladače a aplikace

Microsoft v dokumentaci výslovně varuje: některé aplikace a ovladače zařízení mohou být s integritou paměti nekompatibilní. To může způsobit chybnou funkci zařízení či softwaru a ve vzácných případech chybu při startu (modrou obrazovku). Potíže se mohou objevit po zapnutí funkce nebo už při jejím zapínání. Dokumentace dále uvádí, že všechny ovladače v systému musí být s ochranou kompatibilní, jinak se systém může zhroutit; správcům doporučuje nejprve nasazení na skupině testovacích počítačů.

Co dělat při problému

Podle sekce o řešení potíží:

1. Selže-li ovladač zařízení při načtení nebo za běhu, zkuste jej aktualizovat ve Správci zařízení.
2. Při kritické chybě při startu nebo nestabilitě po zapnutí lze obnovit funkčnost pomocí Prostředí pro obnovení Windows (Windows RE). Nejprve vypnout zásady, kterými byla integrita paměti zapnuta; potom nastartovat do Windows RE, vypnout klíč registru integrity paměti a restartovat zařízení.

Tento postup je spíše pro pokročilé; běžný uživatel by měl vyhledat pomoc u správce nebo servisu, než bude do registru zasahovat. Pokud je integrita paměti zapnuta s uzamčením UEFI, vyžaduje obnova navíc vypnutí Secure Boot.

Má smysl ji zapnout?

Pro většinu moderních počítačů ano, pokud se zapne bez potíží: ochrana jádra je jedna z vrstev, které těžko zajistí běžný antivirus. Pokud však systém hlásí nekompatibilní ovladače, nepřepínejte funkci násilím. Aktualizujte ovladače u výrobce, odinstalujte staré programy, které je instalovaly (například nástroje pro starší hardware), nebo se rozhodněte podle toho, jak moc daný program potřebujete. Funkce nevylučuje vlastní riziko: nekompatibilní ovladač může způsobit pád systému.

Další vrstvy zabezpečení zařízení

Podle příručky Microsoftu patří k hardwarové ochraně také TPM 2.0 a čip Pluton. Zda váš počítač TPM splňuje, ověříte podle článku Windows 11 – požadavky na systém, TPM a kontrola. Pro bezpečnost je důležité také:

• mít aktuální Windows, aby nechyběly opravy,
• používat Defender a SmartScreen; viz SmartScreen a ochrana na základě reputace,
• mít zálohy a šifrování disku,
• používat silná hesla a dvoufázové ověření.

Jak zjistit stav na vlastním počítači

Dokumentace pro správce popisuje i způsoby ověření: například nástroj msinfo32.exe, kde se funkce zabezpečení založeného na virtualizaci zobrazují v části Souhrn systému. Běžnému uživateli stačí stav přepínače v Zabezpečení Windows. Pokud vidíte, že VBS je zapnuto, ale nebeží, může jít o nastavení hardwaru či virtualizace; vyhledejte nápovědu výrobce počítače.

Praktické tipy

1. Aktualizujte Windows a ovladače (zejména grafiku, čipset a chytré periferie).
2. Při varování zkuste integritu paměti zapnout, ale před tím si vytvořte zálohu důležitých souborů.
3. Nekompatibilní ovladač zkuste aktualizovat; pokud výrobce nenabízí novou verzi, zvažte, zda zařízení opravdu potřebujete.
4. Nerozhodujte o vypnutí kvůli jedné hře či programu bez ověření.
5. Na starším počítači počítejte s možným dopadem na výkon.
6. Pokud počítač spravuje zaměstnavatel, obraťte se na správce IT.
7. Nevypínejte ochranu jen proto, že vám někdo v „návodu“ na internetu doporučuje vypnout „zabezpečení“ kvůli instalaci pochybného programu.

Obecné informace o podvodech: E-Bezpečí, Stop online a Policie ČR.

Virtuální stroje

Dokumentace uvádí, že integrita paměti může chránit i virtuální stroj Hyper-V stejně jako fyzický počítač, a to před malwarem běžícím uvnitř hosta; před správcem hostitele ale nechrání. Pro domácí uživatele je to okrajové téma, jen s tím počítejte, pokud na počítači provozujete virtualizaci a zjistíte, že některé funkce nefungují po zapnutí VBS.

Praktický příklad (smyšlený)

Hana dostane ve Windows 11 upozornění, že je integrita paměti vypnutá. Pokusí se ji zapnout, ale Windows vypíše starý ovladač tiskárny. Hana si na stránkách výrobce stáhne novější ovladač, ten nainstaluje a zkusí zapnutí znovu. Prošlo to. Kdyby nová verze neexistovala, rozhodla by se, zda tiskárnu potřebuje, nebo si pořídí novější. Příklad je smyšlený.

Kontrolní seznam – vlastní infografika

Izolace jádra v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn – vlastní infografika

Související články

V kategorii Antivirové programy najdete také Antivirus vs. vestavěná ochrana a Jak číst výsledky testů antivirů.

Shrnutí

Integrita paměti je funkce zabezpečení založeného na virtualizaci (VBS), která kontrolu integrity kódu v jádře Windows provádí v izolovaném prostředí. Zapnete ji v Zabezpečení Windows → Zabezpečení zařízení → Podrobnosti o izolaci jádra. Od Windows 11 22H2 vás systém upozorní, když je vypnutá. Nekompatibilní ovladače mohou způsobit potíže, proto je nejprve aktualizujte. Na starších procesorech počítejte s dopadem na výkon.

Často kladené otázky k integritě paměti a izolaci jádra