CycloneDX（2024年のバージョン 1.6 以降）は、暗号関連の資産を cryptographic-asset 型のコンポーネントとしてモデル化し、algorithmProperties（プリミティブ、パラメーターセット、モード、NIST の量子セキュリティレベル）、証明書のプロパティ、プロトコルのプロパティ（TLS のバージョン、暗号スイート）などの属性を持たせて、それらを利用するコードやサービスと関連付けます。スキャナーは、ソースコード、バイナリ、ネットワークトラフィック、証明書ストアから CBOM を作成します。
CBOM は移行に必要な問いに答えます。RSA-2048 がどこで使われているか、ハイブリッド鍵交換なしで TLS 1.2 をネゴシエートし続けているサービスはどれか、2030年より後に有効期限が切れる証明書はどれか、アップグレードが必要なライブラリはどれか、といった問いです。CBOM が役に立つのは最新の状態に保たれている場合だけです。つまり、一度だけ作るのではなく、CI で生成する必要があります。