Resumo:

Alerta 3111 (Tecnovigilância) - St. Jude Medical Brasil LTDA - - Cardioversor e Desfibrilador Implantável; Marca-Passo Cardíaco Implantável. Segurança Cibernética, risco de acesso não autorizado.

Identificação do produto ou caso:

Nome Comercial: CURRENT RF DF; CURRENT RF VR; PROMOTE RF; AnalyST DR; AnalyST VR; PROMOTE ACCEL; UNIFY; FORTIFY ST DR; Fortify Assura VR; Unify Assura; Quadra Assura; ELLIPSE DR; ELLIPSE VR; FORTIFY ASSURA DR; ELLIPSE DR; ELLIPSE VR; Fortify Assura DR MRI. Nome Técnico: CURRENT RF DF, CURRENT RF VR, PROMOTE RF, AnalyST DR, AnalyST VR, PROMOTE ACCEL, UNIFY, FORTIFY ST DR - Cardioversor e Desfibrilador Implantável; Fortify Assura VR, ELLIPSE VR - Desfibrilador Implantável de Câmara Única; Unify Assura - DESFIBRILADOR IMPLANTÁVEL PARA TERAPIA DE RESSINCRONIZAÇÃO CARDÍACA; Quadra Assura, FORTIFY ASSURA DR; ELLIPSE DR - Desfibrilador Implantável de Câmara Dupla; Fortify Assura DR MRI - Marca-Passo Cardíaco Implantável de Câmara Dupla, por demanda. Número de registro ANVISA: 10332340222; 10332340223; 10332340224; 10332340257; 10332340260; 10332340261; 10332340299; 10332340305; 10332340358; 10332340344; 10332340343; 10332340349; 10332340350; 10332340357; 10332340376; 10332340377; 10332340395. Tipo de produto: Equipamento. Classe de Risco: IV. Modelo afetado: 2207-36; 1207-36; 3213-36; CD2217-36; CD2219-36; CD1217-36; CD1219-36; CD3215-36; CD3235-40; CD3235-40Q; CD3251-40; CD3251-40Q; CD3255-40Q; CD2235-40; CD2235-40Q; CD1235-40; CD1235-40Q; CD1359-40; CD1359-40C; CD1359-40Q; CD1359-40QC; CD3361-40C; CD3361-40QC; CD3371-40C; CD3371-40QC; CD3371-40; CD2377-36C; CD2377-36QC; CD1377-36C; CD1377-36QC; CD2359-40C ; CD2359-40QC; CD2377-36C; CD2377-36QC; CD1377-36C; CD1377-36QC; CD2359-40C; CD2359-40QC. Números de série afetados: Em anexo.

Problema:

A atualização de segurança cibernética proporciona segurança adicional para reduzir o risco de acesso não autorizado para as seguintes famílias de dispositivos de alta voltagem que utiliza comunicação sem fios por radiofrequência (RF): Fortify™, Fortify Assura™, Quadra Assura™, Quadra Assura MP™, Unify™, Unify Assura™, Unify Quadra™, Promote Quadra™ e Ellipse™.

A empresa esclarece que não recebeu relatos de comprometimento de dispositivos relacionados a vulnerabilidades de segurança cibernética nos dispositivos implantados associados a essa comunicação. Esta é uma ação de campo para proporcionar segurança adicional aos pacientes.

À medida que os dispositivos médicos se tornam cada vez mais interconectados via Internet, existe um risco de vulnerabilidade da segurança cibernética. Após análise da St Jude Medical, confirmou-se que essas vulnerabilidades podem permitir que um usuário não autorizado acesse o dispositivo de um paciente. Este usuário não autorizado poderia então modificar a programação do cardioversor-desfibrilador implantável, o que poderia resultar em consequências ao paciente, como estimulação ou choques inapropriados. Até o momento, não há relatos conhecidos de danos aos pacientes relacionados ao acesso não autorizado a estes cardioversores-desfibriladores implantáveis.

* Potenciais riscos da atualização do firmware incluem, mas não estão limitados a: Desconforto devido a configuração da estimulação em modo VVI durante o backup, recarga da versão de firmware anterior devido a atualização incompleta, impossibilidade de tratar TV/FV durante o modo de backup, permanência do modo de backup após a atualização devido ao download sem sucesso e perda da programação atual do dispositivo ou de dados diagnósticos.

Ação:

Ação de Campo Código Flash 3 (Cybersegurança) sob responsabilidade da empresa St. Jude Medical Brasil LTDA. Correção em Campo. Notificação aos médicos sobre novo firmware relacionado a cybersegurança. Atualização de software.

Histórico:

Notificação feita pela empresa em atendimento à RDC 23/2012 (que dispõe sobre a obrigatoriedade de execução e notificação de ação de campo por parte do detentor do registro do produto para a saúde).

Empresa detentora do registro: St. Jude Medical Brasil LTDA - CNPJ: 00.986.846/0001-42 - Rua Itapeva, 538 5º ao 8º andares - São Paulo - São Paulo. Tel: 11 5080 5436.

Fabricante do produto: St. Jude Medical - Sylmar California - 15900 Valley View Court, Sylmar, CA 91342, Estados Unidos - Estados Unidos.

Recomendações:

 A substituição profilática de dispositivos afetados NÃO é recomendada;

 A St Jude Medical recomenda a atualização do firmware para todos os pacientes elegíveis na próxima avaliação programada ou quando apropriado, dependendo das preferências do paciente e do médico;

 O médico deve discutir os riscos e benefícios da atualização do firmware com os seus pacientes;

 Instalar a atualização de firmware seguindo as instruções do programador;

 A atualização deve ser realizada com equipamento de monitoramento adequado e na presença de um desfibrilador externo;

Caso queira notificar queixas técnicas e eventos adversos relacionados ao problema descrito, informe o número do Alerta 3111 no texto da notificação ao utilizar os canais abaixo:

Notivisa: Notificações de eventos adversos (EA) e queixas técnicas (QT) para produtos sujeitos à Vigilância Sanitária devem ser feitos por meio do Sistema NOTIVISA (http://portal.anvisa.gov.br/notivisa). Para acessar o Sistema, é preciso se cadastrar e selecionar a opção Profissional de Saúde, se for um profissional liberal ou a opção Instituição/Entidade, se for um profissional de uma instituição/entidade.

Sistema de Tecnovigilância: Paciente ou cidadão pode notificar por meio do Sistema de Tecnovigilância/SISTEC acesso por meio do link <http://www.anvisa.gov.br/sistec/notificacaoavulsa/notificacaoavulsa1.asp>

Anexos:

Carta ao médico
Protocolo de conhecimento médico
Modelos com números de série afetados

Referências:

Informações Complementares:

 - Data de identificação do problema pela empresa: 16/04/2018

 - Data da entrada da notificação para a Anvisa: 26/04/2018

A empresa detentora do registro do produto afetado é responsável por contatar, oportunamente, seus clientes de modo a garantir a efetividade da Ação de Campo em curso.

Destaca-se a responsabilidade solidária da cadeia de distribuição e uso dos produtos para a saúde na manutenção de sua qualidade, segurança e eficácia, bem como da efetividade da Ação de Campo, expressa pela RDC 23/2012:

(...) Art. 2° Entende-se por detentor de registro de produto para a saúde o titular do registro/cadastro de produto para a saúde junto à Anvisa.

Parágrafo único. O detentor de registro, bem como os demais agentes envolvidos desde a produção até o uso do produto, ou descarte deste quando couber, são solidariamente responsáveis pela manutenção da qualidade, segurança e eficácia dos produtos para a saúde até o consumidor final.

Art. 12 Os distribuidores de produtos para a saúde devem encaminhar para o detentor de registro, em tempo hábil, o mapa de distribuição e outras informações solicitadas para a notificação e execução de ações de campo. (...)

OBS: O presente alerta poderá passar por um processo de atualização caso a Gerência de Tecnovigilância julgue necessário.