CycloneDX (начиная с версии 1.6, 2024 год) описывает криптографические активы как компоненты типа cryptographic-asset с такими свойствами, как algorithmProperties (примитив, набор параметров, режим, квантовый уровень стойкости по NIST), свойства сертификатов и свойства протоколов (версии TLS, наборы шифров), и связывает их с кодом и сервисами, которые их используют. Сканеры строят CBOM по исходному коду, двоичным файлам, сетевому трафику и хранилищам сертификатов.
CBOM отвечает на вопросы, без которых не обойтись при миграции: где используется RSA-2048, какие сервисы всё ещё согласуют TLS 1.2 без гибридного обмена ключами, у каких сертификатов срок действия истекает после 2030 года и какие библиотеки нужно обновить. Он полезен, только пока актуален, поэтому генерировать его нужно в CI, а не однократно.