если требований нет, и у вас осознанное решение бизнеса внедрить какой-нибудь iso27001 с целью эффективного снижения рисков(не верю), то требования вам выставит бизнес. Он возможно тоже почитает, что CEH это круто, и скажет что нужен он, и еще пара бумажек об окончании курсов кройки и шитья. Если бизнес богатый, то там принято идти к Big Four